CSRF風險和令牌

Question

我有一個將表單注入到另一個服務器的網頁的書籤。該表單通過JSONP使用jQuery將數據提交回我的服務器，並將提交的數據添加到數據庫中。

問：這種注射的形式也包含在一個隱藏字段一個CSRF令牌：

<input type="hidden" name="csrf_token" value="MWkgtQbdH6maJhuGL7ObwPcbgqARUCTjb4NSdo29"> 

請問這仍然構成CSRF風險？

Answer 1

頁面仍然可以被抓取並遠程提交。這是一種威懾，但不是絕對的解決辦法。它會停止鏈接，但有人可以遠程發佈表單。

您也可以檢查引用鏈接，但有些客戶端和防火牆阻止發送引薦鏈接。

一個解決方案是通過提交js來設置cookie，然後驗證服務器端。