CSRF与Twilio

Question

我想让Twilio与我的express/node.js安装一起工作。 Twilio在收到短信时正在向我的服务器发送传入连接。然后我用短信答复回复此问题。

这是第一次。然后第二次，我的服务器阻止Twilio，因为它说它是伪造的请求。

有没有适当的方法来解决这个问题？

Answer 1

您应该为该URL禁用CSRF。看到这个问题如何做到这一点：Disable csrf validation for some requests on Express

CSRF是一个漏洞，只涉及需要cookie的形式的会话信息的请求（这就是为什么CSRF有时也被称为“会话骑”）。简而言之，CSRF是指恶意网站所有者可以在他们控制的页面上使用<form>标签来向您的网站发布表单，从而在用户不知情的情况下将已验证的请求发送到您的服务器。例如，假设Facebook有一个/delete_user.php，它会删除当前已通过身份验证的用户。对该URL的CSRF攻击将采用恶意网站所有者网站上<form action="http://facebook.com/delete_user.php">标记的形式（无双关语），该标记在用户不知情的情况下提交。 /delete_user.php的非CSRF安全实现将会看到用户的auth cookie并删除用户 - 这对用户的沮丧很大。

无论如何，长话短说，您的Twilio处理程序不需要用户的浏览器cookie，因此不受CSRF攻击。只需禁用Twilio回调URL的CSRF检查。