您是否可以通过将会话密钥包含在所有POST请求的参数中来阻止XSRF？

Question

这个想法会起作用吗？这似乎很愚蠢，因为我的应用程序只是检查浏览器发送了两份相同的信息（即会话密钥）。

而且，记住让这个检查听起来很乏味。像Rails和CakePHP这样的Web框架是否具有能够更轻松地编写XSRF验证的Web应用程序的功能？

Answer 1

假设会话密钥不被泄露（如果你的PHP配置不当和使用session.use_trans_sid指定可能出现这种情况），你是不是受到会话固定攻击，没错，这就是安全的。这是因为请求伪造者无法读取您的cookie，因此不知道正确的值是什么。

您可以在CSRF Magic，号称可让您通过包含一个文件来保护您的应用程序感兴趣。