您是否需要XSRF/CSRF令牌来注销注销请求？

Question

如果注销请求未通过XSRF/CSRF令牌验证，那么安全漏洞会是什么？

Answer 1

请勿将Anti-CSRF令牌视为在单个端点/请求上实施的机制。理想情况下，这种机制作为您正在开发的框架的关键部分被烘焙。

An Anti-CSRF 可能在注销链接上似乎是多余的，这并不是我在这里担心的。我担心的是设计一个允许或者说不强制执行A​​nti-CSRF机制的系统。

在这种情况下，CSRF可能看起来很温和。然而，当注销链接容易发生XSS时，会发生什么？突然间，Anti-CSRF令牌不再存在以保护您。

总是练习Defence in Depth，因为您的安全性应该分层包装，Anti-CSRF就是其中之一。

Answer 2

可以与OWASP A10组合，例如，攻击者还提供了指向某个地方的返回URL，例如，一个假的“再次登录”页面，他可以捕获您的密码。