不需要CSRF保護？

Question

報價：

互聯網已經改變了很多，因爲CSRF是一個「大事情」，並與CSRF攻擊所用的戰術 正在變得過時。

我個人沒有防止CSRF，主要是因爲我沒有使用 明顯不安全的身份驗證方法。

他有什麼意義嗎？

請給我一些參數如果我是正確的，爲什麼這個人是（固執？）或者沒有清楚地思考，因爲我想說明一點，但我實際上並沒有達到如何表達它。 ..

Answer 1

引用的論點沒有任何意義，但可能還有一些我們錯過的其他背景。

目前還不清楚你的同事提出的認證是什麼樣的形式，而不是公然不安全，沒有CSRF問題。

有一些可能性，例如，在完全由AJAX驅動的應用程序中，您可能會傳遞身份驗證令牌作爲輸入參數，而不是依賴會話。在這種情況下，您不需要額外的反CSRF措施，因爲身份驗證令牌已經是攻擊者無法獲得的祕密。

但CSRF一般還沒有消失;瀏覽器還沒有發展出魔法功能來阻止它發生。對於使用瀏覽器持久性驗證模型（cookie，HTTP驗證）的webapp的典型模型，您肯定仍然需要以某種方式解決它。