CSRF保护是否应该用于匿名用户，或者这是否违背了它的目的？我有一个可以匿名访问的URL。当使用适当的信息访问URL时，一些值会在我的数据库中更新。例如，客户可以在他们的订单确认页面上放置一些代码，这些代码将向http://example.com/save-request发出POST请求，并发送以下数据:{orderId:1234,referralCode:'ABCDEF'}当我收到此请求时，我会使用推荐代码更新数据库中的给定订单:$order=Order::find(Input::get('orderId'));$order->referral_code=Input::get('re
假设我有产品并且产品可以是promo。单击促销复选框时，我希望显示promoPrice字段。这是我的AbstractType的示例//...//$builder->add(..);$builder->add('promoProduct','checkbox',['required'=>false,]);$builder->add('promoPrice','hidden')//$builder->add(..);$formModifier=function(FormInterface$form,$promoProduct=null){if($promoProduct){$form->a
我有一个关于csrf缓解的问题。文献建议在每个页面上使用token，该token必须与任何表单一起提交-此token必须有效才能进行交易。页面上的token如何防止csrf？由于http是无状态的，我不能只发出一个httpGET请求，从html中解析token，然后在POST中使用该token(在某个时间限制内)吗？ 最佳答案 是的，你可以。但这不是CSRF。CSRF是指我偷偷地让您执行您不打算执行的操作。例如，如果你登录到一个特定的网站，我诱骗你点击一个链接，如下所示:http://test.com/action.php?dele
我在我的应用程序中使用dropboxphpsdk我正在尝试使用以下代码访问核心APIfunctiongetWebAuth(){$appInfo=dbx\AppInfo::loadFromJsonFile("../dropbox.json");$clientIdentifier="My-demo-app/1.0";$redirectUri="http://localhost/demo.app/public/dropbox-finish-oauth";$csrfTokenStore=newdbx\ArrayEntryStore($_SESSION,'dropbox-auth-csrf-to
这个问题在这里已经有了答案:LaravelcatchTokenMismatchException(6个答案)关闭7年前。我遇到了向用户抛出CSRF异常的问题。它们的发生是出于完全无辜的原因，例如，如果有人在最终提交表单时填写表单的时间太长，session已过期并且token不匹配。现在显然这是一个错误，但它不需要杀死所有东西并抛出异常。有没有办法让它设置一个闪现消息并重定向回原始页面。我不想禁用CSRF保护，我只想更优雅地处理错误。
中间件:useClosure;useIlluminate\Foundation\Http\Middleware\VerifyCsrfTokenasBaseVerifier;classVerifyCsrfTokenextendsBaseVerifier{publicfunctionhandle($request,Closure$next){returnparent::handle($request,$next);}}Javascript:$.ajaxSetup({headers:{'X-CSRF-TOKEN':'wrong-token-to-test','X-XSRF-TOKEN':'a
我正在尝试让数据表在我的网站上运行。但是当我单击搜索、下一页、排序时，它不起作用。这是因为未重新生成CSRFtoken。这是我的代码:HTMLNoFirstNameLastNamePhoneAddressCityCountryNoFirstNameLastNamePhoneAddressCityCountryJSvartable;$(document).ready(function(){//datatablestable=$('#test-table').DataTable({"processing":true,//Featurecontroltheprocessingindicato
我一直在使用PHP进行自己的CSRF保护。根据我的阅读，我决定使用cookie来实现我的保护，但我对我的方法是否能抵御CSRF攻击感到有点困惑。所以我的方法如下:用户发送登录请求服务器检查是否设置了CSRFtoken，如果没有，则创建一个并将其存储在session中，并使用该token创建一个Cookie通过检查它是否在POST请求中来验证CSRFtoken，如果不在$_COOKIE中则检查token如果token无效则发回消息...我决定使用cookie来存储token，因为这适用于Ajax请求，而且我不必在每次使用AjaxPOST时都包含它。令我感到困惑的是，攻击者不能只发出请求吗
我想知道我是否可以将crsftoken放入，在元标记或其他东西上，然后在我的服务器上访问它。它确实会简化流程并使其更加透明。我只是不知道怎么办。我真的希望在不涉及javascript的情况下做到这一点。我认为Rails实现了类似的东西......也许使用etags？ 最佳答案 CSRFpreventioncheatsheet上列出了很多方法.一个不需要在每个表单上都有隐藏字段的是tocheckthereferer.请记住，缺少引用者应被视为CSRF攻击，并且可能会导致某些隐私浏览器插件出现问题(这种情况很少见)。
我正在使用Get方法进行表单发布，但如果有人能看到我是否在使用yii框架，我不感兴趣。因此，我不需要使用YII_CSRF_TOKEN来创建自己定义的ID名称，例如就像只有token。我不想透露我正在使用什么框架，任何类型的提示或帮助？？？ 最佳答案 在您的应用程序配置中添加以下代码'request'=>array('csrfTokenName'=>'YOUR_TOKEN_NAME_HERE',), 关于php-如何将csrf字段ID从YII_CSRF_TOKEN更改为任何其他，我们在St
