laravel框架中文手册 完全不使用cookie是否就可以防御CSRF攻击？
完全不使用cookie是否就可以防御CSRF攻击？
你太天真了，不会告诉我你不能保护自己。
让我们看看什么是CSRF攻击：CSRF跨站点请求伪造攻击者盗用您的身份并以您的名义发送恶意请求。该请求对服务器完全合法，但它完成了攻击者预期的操作，例如以您的名义发送电子邮件和消息、窃取您的帐号、添加系统管理员，甚至购买商品和转移虚拟货币。
在这种攻击中，一种是你说的客户端攻击，你的手机或电脑已经保存了cookie，比如你正在浏览头条新闻，黑客给你发了一个链接，仔细构造了tweet，然后你可以点击后自动发送tweet。如果不将cookie保存在手机或电脑上，这种攻击就无法实现。但如果链接的构造比较巧妙，可以自动点击登录，自动保存cookie，那么你还是可以成功的。
另一种是服务器攻击，您不保存cookie，但是许多服务器程序允许您使用会话来保持会话。饼干放在你的地方。无法修改会话。但这种攻击具有及时性。您必须正在浏览网页。例如，你在京东购物。此时，如果您点击黑客发送的已构建的京东链接，您将受到CSRF的攻击。
因此，现在更安全的网站，如果它可以抵御CSRF，将让cookie和会话同时使用，并使用httponly cookie。同时，它还将为您提供一系列由服务器用来验证的随机令牌值。这样，虽然黑客可以构建恶意连接，但他们无法知道您的令牌值，因此自然无法攻击您。
然而，近年来，由于大网站的业务不断增长，为了方便用户，很多网站往往称同一个令牌值。例如，如果你在电脑上登录标题，悟空问答也会登录。黑客会在这些不同的商业网站的通话中发现漏洞，并进行令牌攻击。
如果你真的想防守，你仍然需要以人为本，提高警惕。另外，我在标题上写了两篇针对CSFR的攻击，一篇是“零渗透学习网页渗透第三课，首次体验CSRF漏洞”，一篇是“黑客毛毛党技术披露支付宝红包暴力与毛毛”，大家可以关注我，看看这两篇文章，加深对CSRF的了解攻击。
laravel框架中文手册 laravel使用swoole laravel 框架
版权声明：本文内容由互联网用户自发贡献，本站不承担相关法律责任.如有侵权/违法内容,本站将立刻删除。
