Вопросы с тегом «csrf»

Я пытаюсь повысить безопасность форм на моем веб-сайте. Одна из форм использует AJAX, а другая представляет собой простую форму «свяжитесь с нами». Я пытаюсь добавить токен CSRF. Проблема, с которой я сталкиваюсь, заключается в том, что токен только иногда появляется в «значении» HTML. В остальное время значение пустое. Вот код, …

98 php  security  session  csrf 

После настройки Spring Security 3.2 _csrf.tokenне привязан к запросу или объекту сеанса. Это весенняя конфигурация безопасности: <http pattern="/login.jsp" security="none"/> <http> <intercept-url pattern="/**" access="ROLE_USER"/> <form-login login-page="/login.jsp" authentication-failure-url="/login.jsp?error=1" default-target-url="/index.jsp"/> <logout/> <csrf /> </http> <authentication-manager> <authentication-provider> <user-service> <user name="test" password="test" authorities="ROLE_USER/> </user-service> </authentication-provider> </authentication-manager> Файл login.jsp <form name="f" action="${contextPath}/j_spring_security_check" method="post" > <input type="hidden" …

91 spring  spring-security  csrf  csrf-protection 

Я установил Laravel 5.7 Добавил форму в файл \resources\views\welcome.blade.php <form method="POST" action="/foo" > @csrf <input type="text" name="name"/><br/> <input type="submit" value="Add"/> </form> Добавлено в файл \routes\web.php Route::post('/foo', function () { echo 1; return; }); После отправки запроса POST: 419 К сожалению, срок вашего сеанса истек. Обновите страницу и попробуйте еще раз. …

88 php  laravel  csrf 

Как я могу получить токен CSRF для передачи с запросом JSON? Я знаю, что по соображениям безопасности Rails проверяет токен CSRF для всех типов запросов (включая JSON / XML). Я мог бы вставить свой контроллер skip_before_filter :verify_authenticity_token, но я потеряю защиту CRSF (не рекомендуется :-)). Этот аналогичный (до сих пор …

82 ruby-on-rails-3  ruby-on-rails-3.1  devise  csrf 

Я создаю веб-службу, которая использует исключительно JSON для своего содержимого запроса и ответа (т.е. полезные нагрузки, не закодированные в форме). Уязвима ли веб-служба для атаки CSRF, если верно следующее? Любой POSTзапрос без объекта JSON верхнего уровня, например, {"foo":"bar"}будет отклонен с 400. Например, POSTзапрос с содержимым 42будет таким образом отклонен. Любой …

82 http  security  csrf