认识达内从这里开始

认真做教育专心促就业

运城达内培训机构网络运维程序员如何防御CSRF攻击

发布：运城达内教育官网
来源：互联网
时间：2022-11-09 08:53

网络安全问题随着互联网的不断发展而被越来越多的企业和用户所关注，而本文我们就通过案例分析来简单了解一下，网络运维程序员如何防御CSRF攻击。

运城达内培训机构网络运维程序员如何防御CSRF攻击

CSRF攻击可以使用以下方法来防护：

进行同源检测，服务器根据http请求头中origin或者referer信息来判断请求是否为允许访问的站点，从而对请求进行过滤。当origin或者referer信息都不存在的时候，直接阻止请求。这种方式的缺点是有些情况下referer可以被伪造，同时还会把搜索引擎的链接也给屏蔽了。所以一般网站会允许搜索引擎的页面请求，但是相应的页面请求这种请求方式也可能被攻击者给利用。(Referer字段会告诉服务器该网页是从哪个页面链接过来的)

使用CSRFToken进行验证，服务器向用户返回一个随机数Token，当网站再次发起请求时，在请求参数中加入服务器端返回的token，然后服务器对这个token进行验证。这种方法解决了使用cookie单一验证方式时，可能会被冒用的问题，但是这种方法存在一个缺点就是，我们需要给网站中的所有请求都添加上这个token，操作比较繁琐。还有一个问题是一般不会只有一台网站服务器，如果请求经过负载平衡转移到了其他的服务器，但是这个服务器的session中没有保留这个token的话，就没有办法验证了。这种情况可以通过改变token的构建方式来解决。

对Cookie进行双重验证，服务器在用户访问网站页面时，向请求域名注入一个Cookie，内容为随机字符串，然后当用户再次向服务器发送请求的时候，从cookie中取出这个字符串，添加到URL参数中，然后服务器通过对cookie中的数据和参数中的数据进行比较，来进行验证。使用这种方式是利用了攻击者只能利用cookie，但是不能访问获取cookie的特点。并且这种方法比CSRFToken的方法更加方便，并且不涉及到分布式访问的问题。这种方法的缺点是如果网站存在XSS漏洞的，那么这种方式会失效。同时这种方式不能做到子域名的隔离。

在设置cookie属性的时候设置Samesite，限制cookie不能作为被三方使用，从而可以避免被攻击者利用。Samesite一共有两种模式，一种是严格模式，在严格模式下cookie在任何情况下都不可能作为三方Cookie使用，在宽松模式下，cookie可以被请求是GET请求，且会发生页面跳转的请求所使用。

【免责声明】本文系本网编辑部分转载，转载目的在于传递更多信息，并不代表本网赞同其观点和对其真实性负责。如涉及作品内容、版权和其它问题，请在30日内与管理员联系，我们会予以更改或删除相关文章，以保证您的权益!更多内容请加danei0707学习了解。欢迎关注“达内在线”参与分销，赚更多好礼。

< 上一篇：运城达内Java培训机构单例设计模式优缺点与测试应用

下一篇：运城达内计算机培训分布式数据库开发会用到哪些技术 >