理解Rails的真实性令牌

Question

理解Rails的真实性令牌

我在Rails中遇到了一些关于真实性令牌的问题，因为我现在已经有很多次了。

但我真的不想只解决这个问题继续下去。我真的很想了解真伪标记。好吧，我的问题是，你是否有关于这个问题的完整的信息来源，或者你是否会花时间在这里详细解释？

Answer 1

什么是CSRF？真实性令牌是针对跨站点请求伪造(CSRF)的一种对策.你问什么是CSRF？攻击者可以在不知道会话令牌的情况下劫持会话。假想:访问你银行的网站，登录。然后访问攻击者的站点(例如，来自不受信任组织的赞助广告)。攻击者的页面包括与银行“转移资金”表单相同字段的表单。攻击者知道您的帐户信息，并有预先填写的表单字段，以将资金从您的帐户转移到攻击者的帐户。攻击者的页面包括向银行提交表单的Javascript。当表单提交时，浏览器将包含银行站点的cookie，包括会话令牌。银行把钱转到攻击者的账户上。表单可以是不可见的iframe，所以您永远不知道攻击发生了。这被称为跨站点请求伪造(CSRF)。CSRF溶液:服务器可以标记来自服务器本身的表单。每个表单必须包含一个附加的身份验证令牌作为隐藏字段。令牌必须不可预测(攻击者无法猜测)。服务器在其页面中的窗体中提供有效的令牌。当表单发布时，服务器检查令牌，拒绝没有正确令牌的表单。示例令牌：使用服务器密钥加密的会话标识符。Rails会自动生成这样的令牌：请参见每种形式中的RETURY_TOKEN输入字段。