API應用程序如何易受CSRF影響？

我有一個Web API應用程序，併爲它配置SSL。API應用程序如何易受CSRF影響？

我們的認證機制是經由頭部。每個請求都必須包含一對密鑰，我們將根據數據庫驗證它們。我們沒有使用Forms/Basic或Digect認證。

我只是想知道我們是否有考慮到跨站請求僞造（CSRF）問題做什麼？在這種情況下適用嗎？

我想，因爲我們沒有使用餅乾所以它應該是安全的。

來源

2013-08-02 The Light

事實上，如果用戶的瀏覽器自動推送某些攻擊者沒有的憑證，強制另一個用戶執行請求只對攻擊者具有優勢。這可以是：

權威性的cookie
HTTP驗證（基本/摘要/ Windows驗證）
TLS會話ID（以HTTPS）
從IP地址或網絡位置隱含授權（例如Intranet站點）

如果你不依賴任何這樣的證書，那麼沒有CSRF攻擊來抵禦。

來源

2013-08-02 11:31:25 bobince

感謝啊，我們不依賴於任何cookie，會話或HTTP認證。但是，我們確實在服務器上有IP地址限制，這只是我們標頭令牌安全性的一個附加層。 –

好的，所以在這種情況下，您缺少CSRF保護會使您的IP地址限制更加低效。攻擊者還必須有一個密鑰對來填充憑證頭，但現在他們可以從授權的IP範圍之外這樣做，通過劫持瀏覽器範圍之內（使用'從其他網站XMLHttpRequest'讓頭可以設置）。如果您不確信證書檢查本身足夠，並且您希望確保IP限制得到執行，那麼您需要CSRF保護。 – bobince

API應用程序如何易受CSRF影響？

回答

相關問題