在登录/注册表单中填充AntiForgeryToken是否有意义？

Question

我希望我的问题不是太简单，但是当谈到安全性时，我们都会怀疑。

由于在这两种情况（登录/注册）之前，我们没有登录用户（会话cookie），为什么我们会打扰以登录/注册形式使用AntiForgeryToken？

Answer 1

一般来说，你不知道。你所说的攻击是一个跨站点请求伪造（CSRF）。这种类型的攻击依赖于已登录的用户（如果您登录到站点A和站点B并且站点A知道这一点，他们可以将html代码放入，这会导致请求转到站点B，看起来像你启动它并可能导致执行敏感操作）。这些攻击依靠浏览器发送会话cookie /令牌以及所有请求到相关站点（站点A包括请求站点B执行操作X，这导致浏览器向站点B发送请求，因此包括所有cookie ，包括会话cookie，以该请求发送到站点B）。

反CSRF令牌的工作原理是因为当您向客户端发送请求表单时，会包含客户端必须发回的无法推测的值及其操作请求。如果它回来了，您知道要执行的操作的请求始于您发送给客户的表单。如果它没有回来，请求可能是伪造的，所以你应该忽略它。如果站点A上的代码导致请求被发送到站点B，即使使用站点B的会话cookie，站点A上的代码也不会知道要包含的反CSRF标记值，所以伪造的请求将被拒绝。因此，如果您试图防范您的站点上的CSRF攻击，则需要将这些令牌包含在所有可启动敏感操作的表单中，以防止伪造的请求利用已登录的用户。这种防御对于未登录的用户是无关紧要的，因为另一个站点不能利用浏览器将会话cookie /令牌与所有请求一起发送的事实，如果用户当前没有登录。