JQuery AJAXで一般的なCSRFトークンを実装する方法は？

Question

私は現在、リクエストパラメータに基づいてデータベースに挿入されるajax経由でデータをサーバーに送信するjqueryコードを開発しています。

しかし、私はむしろ、これがむしろ安全ではないCSRF攻撃によって悪用される可能性があることを心配しています。私はこれを研究しようとしましたが、PHPで使用する汎用実装の後でしかない、ジャンゴやレールなどの特定のフレームワークに対する答えを見つけるだけです。

JQuery.ajaxsend（）関数を使用してコードを実装し、トークンがEVERY AJAXリクエストで送信されるように読んだことがありますが、JavaScriptが実装されているため、JavaScriptにはアクセスできませんPHPセッション変数。クッキーの使用は十分に安全でしょうか？

基本的には、リクエストの発信元を確認して、リクエストが本物であり、システムを利用するために使用された偽造リクエストでないことを確認する必要があります。

誰かが正しい方向に私を指し示すことができるなら、それは最も高く評価されるでしょう！

Answer 1

まあ、$.ajaxは、そのリクエストでPHPセッションクッキーを含むクッキーを送信しているようです。この機能を使用すると、CSRFからセッションハイジャックへの攻撃が変更されますが、これが始まりです。次に、セッションハイジャックを回避できる場合は、SSLを介してサービスを実行します。

私は確かにこれを行う他の方法がありますが、バニラPHPの場合、これは動作するようです。私が間違っているなら、誰かが私を修正してください。

Answer 2

は、ここでは、Djangoの中で行うの方法ですが、（「csrftoken」としてクッキーにCSRFトークンを設定する以外に）フレームワークの特定だ何もない：https://docs.djangoproject.com/en/1.3/ref/contrib/csrf/#ajax