Блог

Главная - Вопросы по программированию - Если мы проверяем, вошел пользователь в систему или нет, нужно ли нам по-прежнему использовать токены формы, чтобы избежать атак CSRF?

Если мы проверяем, вошел пользователь в систему или нет, нужно ли нам по-прежнему использовать токены формы, чтобы избежать атак CSRF?

#php

#php

Вопрос:

Предположим, что при отправке формы запрос отправляется на FormToDatabase.php

FormToDatabase.php проверяет, вошел ли пользователь в систему или не использует

 if(!isset($_SESSION['user'])){
echo 'Log In First';
die();
}

Когда дело доходит до CSRF, злоумышленник не сможет отправить запрос, потому что пользователь должен войти в систему.

Итак, необходимо ли использовать токены формы / ссылки для дополнительной безопасности или нет?

Комментарии:

1. «Злоумышленник не сможет отправить запрос, потому что пользователю необходимо войти в систему». … нет, это совсем не так. Потому что атака может произойти и после того, как пользователь уже вошел в систему.

2. Можете ли вы объяснить немного теоретически?

3. В Интернете уже есть множество объяснений csrf, которые, вероятно, могут объяснить это намного лучше, чем я мог бы в коротком комментарии. Но в принципе ничто не мешает вредоносному запросу выполняться в любое время, так что в этом смысле нет никакой разницы с точки зрения входа в систему или выхода. На самом деле в большинстве сценариев такой запрос действительно может быть выполнен только после того, как пользователь уже вошел в систему

4. netsparker.com/blog/web-security/… имеет довольно подробное руководство, например

5. Понял, спасибо всем