Pytania otagowane jako csrf

Próbuję trochę zabezpieczyć formularze w mojej witrynie. Jeden z formularzy korzysta z technologii AJAX, a drugi to prosty formularz „skontaktuj się z nami”. Próbuję dodać token CSRF. Problem, który mam, polega na tym, że token pojawia się tylko czasami w „wartości” HTML. Przez resztę czasu wartość jest pusta. Oto kod, …

98 php  security  session  csrf 

Po skonfigurowaniu Spring Security 3.2 _csrf.tokennie jest powiązany z żądaniem ani obiektem sesji. Oto konfiguracja zabezpieczeń wiosny: <http pattern="/login.jsp" security="none"/> <http> <intercept-url pattern="/**" access="ROLE_USER"/> <form-login login-page="/login.jsp" authentication-failure-url="/login.jsp?error=1" default-target-url="/index.jsp"/> <logout/> <csrf /> </http> <authentication-manager> <authentication-provider> <user-service> <user name="test" password="test" authorities="ROLE_USER/> </user-service> </authentication-provider> </authentication-manager> Plik login.jsp <form name="f" action="${contextPath}/j_spring_security_check" method="post" > <input …

91 spring  spring-security  csrf  csrf-protection 

Zainstalowałem Laravel 5.7 Dodano formularz do pliku \resources\views\welcome.blade.php <form method="POST" action="/foo" > @csrf <input type="text" name="name"/><br/> <input type="submit" value="Add"/> </form> Dodano do pliku \routes\web.php Route::post('/foo', function () { echo 1; return; }); Po wysłaniu żądania POST: 419 Przepraszamy, sesja wygasła. Odśwież i spróbuj ponownie. W wersji 5.6nie było takiego problemu.

88 php  laravel  csrf 

Jak mogę pobrać token CSRF do przekazania z żądaniem JSON? Wiem, że ze względów bezpieczeństwa Railsy sprawdzają token CSRF na wszystkich typach żądań (w tym JSON / XML). Mógłbym włożyć kontroler skip_before_filter :verify_authenticity_token, ale straciłbym ochronę CRSF (nie wskazane :-)). Ta podobna (wciąż nie akceptowana) odpowiedź sugeruje Pobierz token za …

82 ruby-on-rails-3  ruby-on-rails-3.1  devise  csrf 

Buduję usługę sieciową, która używa wyłącznie formatu JSON do obsługi żądań i odpowiedzi (tj. Żadnych ładunków zakodowanych w formularzu). Czy usługa internetowa jest podatna na atak CSRF, jeśli spełnione są następujące warunki? Każde POSTżądanie bez obiektu JSON najwyższego poziomu, np., {"foo":"bar"}Zostanie odrzucone z wartością 400. Na przykład POSTżądanie z zawartością …

82 http  security  csrf