XSRF和雙提交cookie JWT的替代方案 - 這個實現是否安全？

Question

我正在研究我的REST API的HTTP安全性，我希望通過使用Double Submit Cookie模式來使它更安全，但我確信我實際上正在做類似的事情（完全是偶然的）。

這是我的流程：

1. 客戶端發出一個POST請求到服務器的用戶名和密碼。
2. 服務器使用JWT令牌進行響應。
3. 客戶端將令牌保存到cookie中。
4. 在隨後的請求中，客戶端讀取令牌cookie並將令牌放入授權標頭（我非常肯定這一步與雙重cookie提交技術相當）。
5. 服務器根據授權標頭中的有效標記驗證用戶。

現在這不是100％equivelent作爲服務器沒有檢查cookie和HTTP頭匹配（這將是微不足道的，如果我需要添加）。

我到目前爲止是否足以阻止XSRF攻擊，還是應該添加XSRF-TOKEN cookie？

Answer 1

我認爲你可能對XSRF攻擊是安全的，但它聽起來的方式，你不能抵禦XSS攻擊。爲了防止XSS攻擊，您還需要在HttpOnly cookie中存儲一個祕密。