XuLaLa.Tech

要知道CSRF token是什么，就必须要知道CSRF（Cross-Site Request Forgery，跨站请求伪造），csrf token就是为了防止CSRF。

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种网络攻击方式，攻击者通过在受害者不知情的情况下诱使其在已认证的会话中执行不希望的操作。

文章目录

• 1 一、CSRF攻击的原理
• 2 二、什么是CSRF Token？
• 3 三、如何使用CSRF Token？
• 4 四、实例代码
• 5 五、CSRF Token需要注意的点

一、CSRF攻击的原理

CSRF攻击的原理相对简单，主要利用了用户在登录状态下对网站的信任。当用户在某个网站登录后，服务器会通过Cookie等方式记录用户的会话状态。此时，如果用户访问了包含恶意请求的第三方网站，攻击者可以利用用户的登录状态，在未经用户同意的情况下，向受信任网站发起请求，并以用户的身份执行操作。

举个例子，假设一个用户在银行网站上登录后，没有注销账户就访问了一个恶意网站。这个恶意网站包含一段代码，该代码会向银行网站发起转账请求，银行网站由于用户已登录，会认为这是合法请求，从而执行转账操作。

二、什么是CSRF Token？

为了防止CSRF攻击，开发人员引入了CSRF Token。CSRF Token是一个随机生成的、唯一的字符串，用于在客户端和服务器之间传递。每次请求时，服务器都会生成一个新的CSRF Token，并将其发送到客户端。客户端在后续的请求中需要带上这个Token，服务器会验证Token的有效性，从而确保请求的合法性。

三、如何使用CSRF Token？

使用CSRF Token的步骤大致如下：

1. 生成Token：
   • 服务器在用户登录或加载表单时，生成一个随机的CSRF Token，并将其存储在服务器端的会话中，同时将其嵌入到客户端的表单或页面中。
2. 发送Token：
   • 客户端在提交表单或发起AJAX请求时，需要将CSRF Token一并发送给服务器。通常，CSRF Token可以通过隐藏表单字段或者请求头的方式传递。
3. 验证Token：
   • 服务器在接收到请求时，从请求中提取CSRF Token，并与存储在会话中的Token进行对比。如果Token匹配，则请求合法；否则，拒绝请求。

四、实例代码

下面是一个简单的CSRF Token实现示例，使用Python的Flask框架：

1. 生成和嵌入Token：

from flask import Flask, session, request, render_template_string
import os
app = Flask(__name__)
app.secret_key = os.urandom(24)
def generate_csrf_token():
token = os.urandom(16).hex()
session['csrf_token'] = token
return token
@app.route('/form', methods=['GET'])
def form():
token = generate_csrf_token()
form_html = '''
<form method="POST" action="/submit">
<input type="hidden" name="csrf_token" value="{{ csrf_token }}">
<input type="text" name="data">
<input type="submit" value="Submit">
</form>
'''
return render_template_string(form_html, csrf_token=token)

1. 验证Token：

@app.route('/submit', methods=['POST'])
def submit():
csrf_token = request.form.get('csrf_token')
if not csrf_token or csrf_token != session.get('csrf_token'):
return "CSRF token is invalid!", 403
data = request.form.get('data')
# 处理数据
return f"Data received: {data}"
if __name__ == '__main__':
app.run()

在上述示例中，服务器生成CSRF Token并将其嵌入到表单中，客户端在提交表单时会发送这个Token，服务器接收到请求后会验证Token的有效性。如果Token无效，服务器会拒绝请求。

五、CSRF Token需要注意的点

1. 唯一性：
   • 每个CSRF Token都应该是唯一的，并且在用户会话期间不断变化。这样可以防止Token被重用，从而提高安全性。
2. 过期时间：
   • CSRF Token应该有一个过期时间。过期时间可以根据具体需求设定，一般为几分钟到几小时不等。
3. 双重提交：
   • 在某些情况下，除了在请求体中包含CSRF Token外，还可以在请求头中加入Token（例如通过AJAX请求），以增加安全性。
4. HTTPS：
   • 使用HTTPS可以防止Token在传输过程中被窃取，进一步提高安全性。

CSRF Token是一种有效的防护机制，可以有效防止CSRF攻击。通过生成唯一的Token并在请求中进行验证，可以确保请求的合法性，保护用户的安全。开发人员在实现CSRF Token时，应遵循最佳实践，以确保系统的安全性和可靠性。