Cross Site Request Forgery是一种利用网站对用户浏览器的信任的恶意攻击。
Laravel Sanctum 与 Angular - CSRF 令牌不匹配
我有一个 Angular 前端和一个带有 Sanctum 的 Laravel 后端。 我的登录组件如下所示。当我在没有登录请求的情况下运行它时，一切正常，并且两个 cookie 都已完成。 当我...
在 Spring Boot Web 应用程序中禁用 csrf 的原因是什么？
有很多教程展示了如何禁用csrf， csrf().disable() （以及其他可能性，如 .properties、.yml 等） 但没有地方解释他们为什么这样做？ 所以我的问题是...
表单内的@csrf生成这样的html 也尝试过{!! csrf_field() !!} 和 {{csrf_field()}} 但仍然...
Symfony 和 VueJS CSRF 令牌验证问题：“无效的 CSRF 令牌”错误
我正在开发一个 Web 应用程序，使用 Symfony 作为后端，使用 VueJS 3.2 作为前端，并且我面临着 CSRF 令牌验证的持续问题。尽管多次尝试和检查，...
当我尝试使用 Axios 请求中包含的凭据或使用 Postman 应用程序向服务器上托管的 DJANGO 应用程序发送 POST 请求时，我无法访问应用程序中的 cookie，因为 cookie
Tomcat 8.52版本CsrfPreventionFilter带有正则表达式模式的entryPoints参数
我正在使用 tomcat 8.52 来修复 CSRF 问题。在那里面 我正在使用 org.apache.catalina.filters.CsrfPreventionFilter。 如何将 EntryPoints 参数与正则表达式模式匹配一起使用。 我怎样才能避免 CSRF ch...
使用 NET 6 API 在 Angular 15 中实现防伪令牌的问题
我已经浏览了很多关于如何执行此操作的帖子，但到目前为止还没有任何效果。 我在我的startup.cs中使用了这段代码： 公共 IServiceProvider 配置服务（IServiceCollection
Vue3 + Quasar SPA 尝试使用 Laravel API 进行身份验证并获取 CSRF 令牌不匹配（419 状态代码）
我有一个应用程序 SPA Vue3 + Quasar 和一个后端 Laravel API，在同一域（localhost）上，我的 SPA 在端口 8080 上，我的 API 在端口 80 上。 在 SPA 中，每次刷新页面时，我都会向 /sanc 发送 GET...
已经实现了csrf保护，使用session id的目的是什么？
我知道，为了保护 Web 应用程序免受跨站请求伪造，唯一安全的方法是实现 CSRF 令牌。我的问题是，是否可以使用 CSRF 令牌来跟踪会话
CSRF 令牌不匹配：Nuxt 与 Symfony (pimcore) 后端
设置： docker 容器上的 nuxt 另一个 docker 容器上的 pimcore 在 nuxt 配置中： 环境：{ apiDomain: process.env.VUE_APP_API_DOMAIN || “http://localhost:8000/api”， 饼干...
如何禁用/删除 swagger drf_yasg 中的授权按钮（维护 CSRF）-django
如何禁用 drf_yasg 中的授权按钮？ （我仍然希望 CSRF 起作用） 更新： 目前，我有这样的设置，因为我想删除 Django 登录并维护 csrf。哈...
我读到，使用 JWT 时，无需防范 CSRF 攻击，例如：“由于您不依赖 cookie，因此无需防范跨站点请求”。
Domain 与 SameSite strict 的 cookie 之间的安全差异是什么？
当我们创建cookie时，我们可以通过设置domain属性来指定它的使用位置。 设置 Cookie：Foo=bar；路径=/；安全的;域名=baz.qux.com； 上面的 cookie 将仅与
在 Laravel 中为 CSRF 令牌设置 httpOnly 标志
我正在为客户在 Laravel 5.1 中构建一个应用程序。完成应用程序后，我收到了一份渗透测试报告，它告诉我添加一个 HttpOnly 标志。 我添加了 'secure' => true 和 'http_...
我目前正在使用 Springboot 1.5.8 和 Spring Security，并且正在测试基本身份验证。 我编写了一个简单的函数，允许所有经过身份验证的请求使用测试函数： @
我正在使用 Vaadin 24.2 + Springboot 3.1.5 和 Spring Security 所以，根据这个：Vaadin Docs 客户端和服务器之间的所有请求都包含在用户会话特定的 CSRF 令牌中......
我正在研究保护网站免受 CSRF 攻击。尽管敏感cookie已经被标记为same-site=lax，但我仍然想实现CSRF令牌。更具体地说是双
我是一名安全研究员，在研究一个项目时，我发现当我在请求响应中插入 Expect: 100-continue 标头时，会出现这样的情况： HTTP/1.1 100 继续
我在 IIS 上使用机器 A 上的 localhost 托管了一个小型 MVC 应用程序。我的主页中有以下 html。这里的域名是机器B的IP地址，用于测试目的。 我在机器 A 上使用 localhost 在 IIS 上托管了一个小型 MVC 应用程序。我的主页中有以下 html。这里的域名是B机的IP地址，用于测试目的。 <div class="row"> <div class="col-md-4"> <h2 class="jumbotron">You have won a prize!</h2> <p> To redeem your prize. Click this button. </p> <form action="http://target_IP_address/eline/webController/Populate" method="POST"> <input type="hidden" name="dateF" value="3/16/2022 3:01:26 PM" /> <input type="hidden" name="dateT" value="3/17/2022 3:01:26 PM" /> <input type="submit" class="btn btn-primary btn-lg" value="Give me my prize" /> </form> </div> </div> 现在，在机器 B 中，我登录到了存在漏洞的网站。然后，我单击一个链接，转到计算机 A 上托管的网站。当我到达该网站时，我单击 "submit" 按钮。这就是我的困惑开始的地方。机器 B 中没有发出此请求的记录。我确实在机器 A 中看到了该请求。这是我看到的。 我的印象是我会在机器 B 上看到该请求。因为我在机器 A 上看到了它，所以我确信我搞砸了。如果 response 缺少另一个自定义标头（csrf-token：一些唯一令牌），我实现的用于检查 csrf 攻击的修复应该将自定义标头（csrf-Detected：1）附加到 request。由于此标头没有显示在“响应标头”部分中，因此我认为检查没有发生在 Populate 中的 webController 方法之前。谁能指出我做错了什么？ 从 Microsoft 网站查看此页面。 为了帮助防止 CSRF 攻击，ASP.NET MVC 使用防伪造令牌， 也称为请求验证令牌。 客户端请求包含表单的 HTML 页面。 服务器在响应中包含两个令牌。一个令牌作为 cookie 发送。另一个放置在隐藏的表单字段中。代币 是随机生成的，因此对手无法猜测这些值。 当客户端提交表单时，它必须将两个令牌发送回服务器。客户端将 cookie 令牌作为 cookie 发送，并且它 发送表单数据内的表单令牌。 （浏览器客户端 当用户提交表单时自动执行此操作。） 如果请求不包含两个令牌，服务器将不允许该请求。 要将防伪令牌添加到 Razor 页面，请使用 HtmlHelper.AntiForgeryToken 辅助方法： @using (Html.BeginForm("Manage", "Account")) { @Html.AntiForgeryToken() } 此方法添加隐藏表单字段并设置 cookie 令牌。
[电子邮件受保护]中自动生成 X-XSRF-TOKEN 标头
根据 XSRF-TOKEN cookie 的值填充 X-XSRF-TOKEN 标头，然后将请求发送到受信任的主机，我感到很沮丧。 这个问题是随着 axios libr 的重大变化而来的......