防止跨站點請求僞造 - 不要在小甜餅報頭髮送到服務器的SessionID的依靠

Question

我讀的教程在

http://code.google.com/p/google-web-toolkit-incubator/wiki/LoginSecurityFAQ

它指出

記住 - 你必須永遠不要依靠 cookieID發送到您的服務器的sessionID;請僅查看 會話ID，以便您的GWT應用程序將 明確地在消息的有效負載 中發送到您的服務器。

是用它來防止http://en.wikipedia.org/wiki/Cross-site_request_forgery#Example_and_characteristics

有了這個神話，是不是足以防止上述攻擊？

Answer 1

是的，它足以防止跨站請求僞造。

cookie中的sessionid不可信。假設用戶登錄到mysite.com，會話ID在cookie中。現在用戶點擊鏈接到evilsite.com。 evilsite.com有這樣的代碼

<img src="http://mysite.com/transfermoney.jsp?amount=1000.." /> 

瀏覽器會主動要求到mysite.com，和它也將隨會話ID發送cookie。這裏要理解的是，evilsite.com 不能讀取cookie，但它仍然可以完成它的工作。

瀏覽器同源策略可防止evilsite.com讀取會話標識符，無論是在cookie中還是嵌入在html頁面中。但是，由於瀏覽器自動將cookie發送到服務器，即使資源是從其他域中的html代碼請求的，您也有XSRF。

爲防止出現這種情況，建議將會話標識符作爲請求參數。如果將其作爲請求參數添加，evilsite.com將無法訪問標識符，因此無法將其置於img src屬性中。

但是，請記住，如果您的網站存在XSS漏洞，則任何事情都無法阻止您從XSRF中獲得。換句話說，如果你有XSS漏洞，攻擊者甚至不會在乎做XSRF。