简单理解 CSRF
什么是 CSRF？
CSRF，通常称为跨站请求伪造，英文名 Cross-site request forgery 缩写 CSRF，是一种对网站的恶意攻击。一个跨站请求伪造攻击迫使登录用户的浏览器将伪造的HTTP请求,包括该用户的会话 cookie 和其他认证信息,发送到一个存在漏洞的web应用程序。这就允许了攻击者迫使用户浏览器向存在漏洞的应用程序发送请求,而这些请求会被应用程序认为是用户的合法请求。与XSS相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比更具危险性。
CSRF 攻击过程简述
CSRF 的危害有哪些？
CSRF 可以用访问者的身份做很多事情，包括但不限于个人信息泄露、也可能会危害财产安全。
CSRF 常见攻击方式
常见的攻击方式大致可以分为以下几种
Img 标签 GET 请求
例如修改当前已登录用户密码
-
Flash 或隐藏表单的主动提交
CSRF 如何防御
目前防护 CSRF 大多在服务器端进行验证和限制，客户端解决方案较少，实现成本也较高。服务端主要方式有以下几种
Token 验证
这种方式可以过滤 95% 以上的 ，在表单提交时放入一个 token， 服务器验证该 token 是否有效。只允许有效的 token 请求， 否则拒绝当前操作。 但这种方式也有一定的局限性， 对于一些 GET 请求（例如获取当前用户信息的 GET 请求）加入 token 验证可能需要更改后端 API。
Referer 验证
一般对于一些私有 API 完全可以拒绝非当前 origin 的 referer，在已知受信站点白名单的情况下，对于例如多站点共用的 API （例如权限系统）可以设置可访问 origin 的列表。需要注意在很多请求头中并没有 referer 或者 referer 不正确。
隐藏令牌
将独有的令牌包含在一个隐藏字段中。 这将使得该令牌通过 HTTP 请求体发送,避免其包含在 URL 中从而被暴露出来。该独有令牌同样可以包含在 URL 中或作为一个 URL 参数。 但是这种方法的巨大风险在于:URL 会暴露给攻击者, 这样秘密令牌也会被泄漏。
CSRF 防护 in Flask
flask-wtf
在 Flask 0.9.0版本后，可以使用 Flask-WTF 来防御 CSRF 攻击，Flask-WTF 默认对所有提交的表单启用 csrf 防护
wtf的token
非wtf的tokan
当使用非WTF表单的时候，可以将token放在一个隐藏域中，随表单一起提交
AJAX的token
Ajax的token可以放在隐藏域或其他标签中, 在通过js获取token， 随Ajax请求提交
自定义 CSRF 验证失败后的逻辑
Flask提供装饰器@csrf.error_handler 来支持定制当CSRF验证失败后的返回信息
@csrf.error_handlerdef csrf_error(reason): return render_template('csrf_error.html', reason=reason), 400 本文系 OneASP 前端工程师陈喜顺原创文章。如今，多样化的攻击手段层出不穷，传统安全解决方案越来越难以应对网络安全攻击。 自适应安全平台集成了预测、预防、检测和响应的能力，为您提供精准、持续、可视化的安全防护。想阅读更多技术文章，请访问
本文转自