RSA身份驗證和CSRF攻擊

Question

如果我爲我的web應用程序使用RSA身份驗證，那麼我仍然需要通過使用令牌來處理CSRF攻擊，否則RSA身份驗證將負責處理它。

Answer 1

那要看你實現... RSA本身無關CSRF ...

認證模式可以提供一些保護（如果你讓用戶簽署所有它例如是輸入） ，但老實說：保護用戶輸入來自csrf的協議是什麼？

在服務器端

，在登錄創建存儲在用戶會話中的鹽，計算哈希（CURRENT_TIMESTAMP，鹽）每次你需要保護的用戶輸入，並賦予該值+ CURRENT_TIMESTAMP爲隱藏字段的形式。 ..當你收到用戶輸入，得到鹽，並重新計算值...如果這一個匹配你從客戶端得到的，它不可能通過csrf來輸入...

因爲你絕不要將鹽暴露給用戶，對用戶或攻擊者來說，沒有任何辦法（除非直接從會話數據庫中獲取，這意味着受損系統）...