csrf

0热度

1回答

laravel 5.4 - 套接字io需要csrf令牌将ajax发送给laravel服务器，如何获取？

我的套接口io想发送ajax到laravel服务器，但我需要csrf标记设置为我的ajax标题，该怎么做？我发现了一个网页，似乎讨论这个问题， socketio_client_authentication_using_laravel_session_data， const SOCKET_PARAMS = 'laravel_session_cookie={{ $_COOKIE[config('se

3热度

2回答

Symfony：使CSRF令牌可用于所有的树枝模板

我的应用在这里和那里都有AJAX请求，我想用CSRF令牌来保护它们。然而，我不希望生成CSRF标记并将其传递给Twig渲染器以用于JavaScript中，而是希望在Twig呈现的每个HTML页面中都可以使用CSRF标记。我已经看到Laravel似乎把它放在一个元标记中，所以我可以轻松地用JavaScript来获取它。但是如何在Symfony中做到这一点？我如何在每个页面中插入这个令牌？或者这是

0热度

1回答

CSRF攻击和饼干

在CSRF的定义，我们有跨站请求伪造（CSRF）是一款迫使终端用户以在Web应用程序中，他们是执行不必要的行动的攻击当前已通过身份验证。这意味着它适用于已通过身份验证的用户，该用户已拥有用于登录用户面板的有效cookie。但是，在我见过的每个csrf漏洞利用中，都没有cookie部分或相关的东西; 例如，这CSRF攻击： <html> <body> <script>

0热度

1回答

Spring何时发送XSRF-TOKEN set-cookie响应头？

标题总结得很好。我在要求应该满足的条件，所以Spring决定发回一个Set-Cookie:XSRF-TOKEN=...响应标题。我可以看到，很多我的请求都是在不需要的情况下使用这种头部获取响应。例如，当我发送一个GET请求时，即使我已经为请求设置了X-XSRF-TOKEN，它也会收到一个包含该标题集的响应。但是对于具有提到的请求头的POST请求将停止Spring发回set-cookie头。所以我

0热度

1回答

使用geckodriver登录会导致无效的CSRF令牌错误

我正在使用jUnit，geckodriver和Seleninum在Scientic American网站上执行一系列测试，以进行学习。这些是相应的版本： - jUnit 4.12; - Selenium Java 3.4.0; - geckodriver 0.17.0 win64; - Firefox 54.0 win64。我在测试签名表单时遇到了问题。在运行下面的测试之后，登录失败，并在带有

0热度

1回答

与CSRF令牌JMeter的授权失败（401错误）

我是相当新的JMeter的所以我就死在最明显的情况 - 登录我录的通过JMeter的场景，并在那里。是在日志中3个发送参数：用户名，密码和CSRF令牌，所以我必须在下一个场景：加载登录页面（GET）+正则表达式提取器（从饼干receiving CSRF令牌） POST用户名，在上一步中收到的密码和csrf-token 尽管在参数中是sent，但仍然收到日志中的'CSRF令牌丢失'。似乎我发送的

0热度

1回答

如何与石墨烯一起使用邮递员？

我正在探索使用GraphQL-Django，而不是构建大量的REST API端点。为此我已经成功地安装和正在运行的“食谱”示例应用程序的石墨烯Django的包，部分：https://github.com/graphql-python/graphene-django 为了更好地理解如何GraphQL技术的工作原理，我试图让石墨烯服务器调用与邮差。然而，我得到一个CSRF错误，并尝试了几件事情来解决它

2热度

1回答

Django的CSRF升级失败后1.9> 1.11

我刚刚升级的应用程序，我从1.9到1.11开发和正在对所有形式的职位不断得到错误： CSRF token missing or incorrect. 所有CSRF令牌是在做工精细1.9。下面是这个视图： def contact(request): subject = request.GET.get('subject', '') contact_form = forms.Co

0热度

1回答

CSRF Supertest请求失败

我有一个Express 4个应用程序，使用户csurf CSRF保护API路由。该应用程序运行良好，并且CSRF保护确实在没有csrf-token标头的请求会提供适当的错误。我利用Ava用于测试supertest测试路线。当启用CSRF检查下面的测试失败，但如果通过我删除中间件： test('booking api no auth', async t => { t.plan(4)

0热度

2回答

http只有cookie的点是什么？

假设您在您的网站上发生了XSS攻击。黑客可以通过cookie提出任何请求。那么，从客户端隐藏这个值有什么意义呢？