狀態參數如何防止CSRF攻擊

Question

中的頁面說明如下： 狀態（推薦）應用程序使用狀態參數來存儲特定於請求的數據和/或防止CSRF攻擊。授權服務器必須將未修改的狀態值返回給應用程序。

但我不清楚狀態如何防止CSRF攻擊。對於我的想法，如果有人抓住這個包，那麼請確定請求查詢參數也是已知的，所以他可以再次發送它以淡化這個響應。

Answer 1

常用的方法是將state存儲在用戶的會話中（如果存在）或將其設置在安全的httponly cookie中（如果該應用程序是無狀態的）。然後在回調函數中比較這些（查詢中的state與session/cookie中的state）。

如果說「軟件包」只意味着HTTP流量（一種中間人攻擊），那麼如果您使用的是HTTPS協議 - 什麼都不能被劫持。這就是強烈建議僅通過HTTPS使用OAuth的原因。