状态参数如何防止CSRF攻击

Question

中的页面说明如下： 状态（推荐）应用程序使用状态参数来存储特定于请求的数据和/或防止CSRF攻击。授权服务器必须将未修改的状态值返回给应用程序。

但我不清楚状态如何防止CSRF攻击。对于我的想法，如果有人抓住这个包，那么请确定请求查询参数也是已知的，所以他可以再次发送它以淡化这个响应。

Answer 1

常用的方法是将state存储在用户的会话中（如果存在）或将其设置在安全的httponly cookie中（如果该应用程序是无状态的）。然后在回调函数中比较这些（查询中的state与session/cookie中的state）。

如果说“软件包”只意味着HTTP流量（一种中间人攻击），那么如果您使用的是HTTPS协议 - 什么都不能被劫持。这就是强烈建议仅通过HTTPS使用OAuth的原因。