我有一个静态网站，通过CDN提供服务，并通过AJAX与API通信。如何防止CSRF攻击？
由于我无法控制静态网站的服务方式，因此无法在某人加载我的静态网站时生成CSRF令牌（并将令牌插入表单或随AJAX请求发送）。我可以创建一个GET端点来检索令牌，但攻击者似乎可以简单地访问该端点并使用它提供的令牌？
在这种情况下，是否有一种有效的方法来预防CSRF攻击？
附加细节：身份验证是完全独立的。我想要CSRF保护的一些API请求是经过身份验证的端点，而其他一些请求是公共POST请求（但我想确认它们来自我的站点，而不是别人的）。
客户端 [静态 HTML]
<script>
// Call script to GET Token and add to the form
fetch('https:/mysite/csrf.php')
.then(resp => resp.json())
.then(resp => {
if (resp.token) {
const csrf = document.createElement('input');
csrf.name = "csrf";
csrf.type = "hidden";
csrf.value = resp.token;
document.forms[0].appendChild(csrf);
}
});
</script>
define('CSRFTOKEN','__csrftoken');
服务器：
$root_domain = $_SERVER['HTTP_HOST'] ?? false;
$referrer = $_SERVER['HTTP_REFERER'] ?? false;
// Check that script was called by page from same origin
// and generate token if valid. Save token in SESSION and
// return to client
$token = false;
if ($root_domain &&
$referrer &&
parse_url($referrer, PHP_URL_HOST) == $root_domain) {
$token = bin2hex(random_bytes(16));
$_SESSION[CSRFTOKEN] = $token;
}
header('Content-Type: application/json');
die(json_encode(['token' => $token]));
session_start();
// Included for clarity - this would typically be in a config
define('CSRFTOKEN', '__csrftoken');
$root_domain = $_SERVER['HTTP_HOST'] ?? false;
$referrer = parse_url($_SERVER['HTTP_REFERER'] ?? '', PHP_URL_HOST);
// Check submission was from same origin
if ($root_domain !== $referrer) {
// Invalid attempt
die();
}
// Extract and validate token
$token = $_POST[CSRFTOKEN] ?? false;
$sessionToken = $_SESSION[CSRFTOKEN] ?? false;
if (!empty($token) && $token === $sessionToken) {
// Request is valid so process it
}
// Invalidate the token
$_SESSION[CSRFTOKEN] = false;
unset($_SESSION[CSRFTOKEN]);
对于此问题有非常好的解释，请查看
https://cloudunder.io/blog/csrf-token/
从我的理解来看，由于CORS限制，静态网站不会面临CSRF问题，如果我们添加了X-Requested-With标志。
这里还有一个问题我想要强调一下：
如何保护你的API，以便它可以被移动应用程序和静态站点调用？
由于API是公开暴露的，您希望确保只有允许的用户才能调用它。
我们可以在API服务层中添加一些检查来实现同样的目的。
1）针对AJAX请求（来自静态站点），检查请求的域，因此只有允许的站点可以访问它。
2）对于移动请求，请使用HMAC令牌，点击此处了解更多信息
http://googleweblight.com/i?u=http://www.9bitstudios.com/2013/07/hmac-rest-api-security/&hl=en-IN
bank.com/pay?amount=1000&to=Alice）。他们无法读取结果，但可以通过其他方式观察状态的变化-即Alice是否有1000美元在她的账户中。 - Jansky