防止jQuery的CSRF和XSRF攻擊$ .post

Question

我最近受到一個簡單的CSRF攻擊，並意識到我的許多ajax腳本是開放的。這些可以在我的網站上用$ .post（）訪問。

有沒有辦法自動添加一個PHP令牌給所有這些，或者我需要通過並一一做這件事？

Answer 1

使用bwoebi的答案，我發現了一個稍微好一點的解決方案。 jQuery有一個內置的ajax設置功能。

<script>var token ="<?= $_SESSION['token'] ?>";</script> 
<script> 
jQuery.ajaxSetup({ 
    data: { 
     token: token 
    } 
}); 
</script> 

這會將您的令牌添加到每個jQuery請求！

Answer 2

一個想法是，以取代$.post功能：

jQuery["post"] = function (url, data, callback, type) { 
    data["token"] = token; // where token is a global variable 
    // you write in a <script> 'var token = <?php echo $_SESSION["token"]; ?>;' 
    return jQuery.ajax({ // copied from the jQuery code 
     url: url, 
     type: "POST", 
     dataType: type, 
     data: data, 
     success: callback 
    }); 
}; 

所以你只需要包括JQ-LIB後添加這個小碼。