CSRF（Cross-Site Request Forgery）攻击是一种利用用户的已验证会话来执行非意愿操作的攻击方式。攻击者发送伪造的 HTTP 请求，使受害者在不知情的情况下执行某些操作，比如修改账户信息、购买商品等。本文将介绍如何使用一些技术手段来防止 CSRF 攻击，保护你的 RESTful API 安全。
原理分析
首先，我们需要理解 CSRF 攻击的原理和危害。在 Web 应用中，用户通常需要进行登录，以获取一个验证的会话。一旦用户通过认证，就可以执行一些需要登录的操作，比如查看账户信息、修改密码、下订单等。这些操作通常需要发送一个 HTTP 请求，包含一些敏感的数据（比如账户 ID、密码等）。
攻击者可以通过一些方式来利用用户的会话完成 CSRF 攻击。最常见的是在恶意网站中插入一个表单，伪造一个请求，以利用用户的登录状态。当用户在受信任的网站上访问这个表单时，浏览器会发送一系列 HTTP 请求，包括攻击者伪造的请求。这个请求包含了恶意操作，比如修改账户信息、转账等。
虽然 CSRF 攻击需要用户在受信任的网站上访问恶意网站，但这种攻击方式非常危险。攻击者可以通过社会工程学手段，比如发送钓鱼邮件、伪装成合法的链接等方式，来欺骗用户访问恶意网站。因此，防范 CSRF 攻击至关重要。
解决方案
使用 CSRF Token
CSRF Token 是一种解决方案，旨在检测非授权 HTTP 请求。当用户登录并访问 Web 应用时，Web 应用会生成一个随机的 CSRF Token，并将它存储在服务器端和客户端。在每个 HTTP 请求中，Web 应用都会确认请求中是否包含正确的 CSRF Token。如果不包含，请求将被拒绝。
下面是一个示例，用来说明如何使用 CSRF Token 来防止 CSRF 攻击：
-- -------------------- ---- -------
--------- -----
------
------
----- ----------------
----------- ----- ---------------
------- -----------------------
-------- ------------- -
--- --- - --- -----------------
--- --------- - --------------------------------------------
---------------- ---------------------
------------------------------------ ----------------------------------
------------------------------------ -----------
-------------------------
-------- -----------------------
----
-
---------
-------
------
-----
------ --------------------------
------ ------------ ---------- -------------
------
------ ------------- --------------- ---------------------------
------- ------------------------------ --------------
-------
-------在这个示例中，当用户点击 "Update Email" 按钮时，Web 应用会使用 JavaScript 发送一个 POST 请求至 /api/update-email，请求中包含了一个名为 X-CSRF-Token 的 HTTP 头，其值为随机生成的 CSRF Token。
注意，在每个请求中，Web 应用都会检查请求中是否包含了正确的 CSRF Token。如果 CSRF Token 不匹配，请求将被拒绝。因此，攻击者无法使用伪造的 CSRF Token 钓鱼用户执行恶意操作。
使用 SameSite Cookie
SameSite Cookie 是一种 Cookie 属性，可以防止浏览器自动发送跨站点请求。通过设置 Cookie 的 SameSite 属性为 "Strict" 或 "Lax"，可以确保浏览器只发送同源请求或者带有明确用户交互的请求。
需要注意的是，SameSite Cookie 只能用来预防 CSRF 攻击，不能完全阻止 XSS 攻击。因此，SameSite 属性应该搭配使用其他的安全技术，如 CSP、Content-Disposition 和 X-Frame-Options 等。
下面是一个示例，用来说明如何使用 SameSite Cookie 来防止 CSRF 攻击：
-- -------------------- ---- -------
----- ------- - -------------------
----- ------------ - -------------------------
----- --- - ----------
------------------------
--------------- ----- ---- -- -
----- - --------- - - ------------
----------------------- ---------- -
--------- -----
--------- --------
---
-- ------
---在这个示例中，当用户访问 /api 接口时，Web 应用会生成一个随机的 CSRF Token，并将它存储在 SameSite Cookie 中。返回接口数据时，Web 应用将 SameSite Cookie 发送到客户端，客户端在后续请求中会自动带上 CSRF Token。
需要注意，同源请求和带有用户交互的请求可以发出，因此 SameSite 属性并不能处理所有 CSRF 攻击。同样的，攻击者仍然可以使用社会工程学手段来欺骗用户发出 CSRF 攻击。
隐藏 Cookie
一种简单有效的方式是将 CSRF Token 存储在一个隐藏的表单中，而不是存储在 Cookie 中。这种方式不需要使用 SameSite Cookie，因此其兼容性非常好。
下面是一个示例，用来说明如何隐藏 CSRF Token：
-- -------------------- ---- -------
--------- -----
------
------
----- ----------------
----------- ---------- ---------------
-------
------
----- ----------------- ------------- ---------------------------
------ ------------- ------------ ----------------------
------ --------------------------
------ ----------- ------------ -----------
-------------- --------------
-------
-------
-------在这个示例中，当用户提交表单时，Web 应用会将 CSRF Token 存储在一个名为 _csrf 的隐藏字段中。因为这个字段并不会被显示在页面中，因此攻击者无法获取到正确的 CSRF Token。
需要注意，这种方式不适用于 SPA（Single Page Application）应用。SPA 应用的页面通常是基于 JavaScript 动态生成的，因此攻击者可能会轻松地获取到隐藏表单中的 CSRF Token。
其他技术手段
还有一些其他常用技术手段，比如使用 Referrer 检查、CORS 检查、时间戳等方式，用来防止 CSRF 攻击。
使用 Referrer 检查是检查 HTTP 请求源头的一种方式。如果请求源头与预期不符，则拦截请求。需要注意的是，Referrer 信息可能会因为一些安全设置而被拦截或者修改，因此这种方式并不是完美的。
CORS（Cross-Origin Resource Sharing）是一种浏览器安全策略，可以防止非法跨域访问。通过在响应头中设置 "Access-Control-Allow-Origin"、"Access-Control-Allow-Credentials" 等参数，可以检查请求中是否包含了正确的授权信息。
时间戳是一种检测请求的时效性的技术手段。通过在请求头中增加一个时间戳参数，Web 应用可以检查请求是否超时。但是，这种技术手段需要确保 Web 应用和客户端系统之间的时间同步。
总结
本文介绍了一些常见的技术手段，在 RESTful API 中防范 CSRF 攻击。这些技术手段可以用来保护 Web 应用的安全，防止攻击者利用用户的会话完成非授权操作。需要注意的是，这些技术手段并不是完美的，攻击者仍然可以使用其他方式来欺骗用户。因此，Web 应用的安全性需要多方面保障，包括代码审计、安全培训、网络监测等手段。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/6464d02a968c7c53b05a996f