paip.提升安全性--CRSF跨站请求伪造的检测与防范

paip.提升安全性--CRSF跨站请求伪造的检测与防范

作者Attilax ， 1466519819@qq.com

在用户的重要活动中，要防止CRSF攻击。。

比如修改密码时

转账时

删除资料时

修改资料时

有以下几种方法可以防范。。

1.比如在转账时，要求用户输入交易密码..

2..操作时使用验证码，用户体验不好。。

3.显示确认页面。

4.修改密码时，显示当前用户名，并要求用户输入原密码进行验证..

5.使用自动标识验证，强烈推荐这个方式...

也就是说在请求的时，需要发送一个标识符进行签名认证..这个标识符在每个URL和窗体都不同。。。一次性使用..攻击者无法伪造..要确定同样的操作每个用户的标识是不同的..

生成方法:

sign=hash(username+key+param)..

这样用户就无法伪造SIGN。此外可以使用动态KEY。。这样更安全，有效时间可设定在两小时左右。。过期作废...