csrf-protection

1熱

2答えて

expressjsでAJAXリクエスト（Jqueryなし）でcsrfトークンを送信するには？

私はexpressjsでcsurfモジュールを使用しています。私はそれを次のように使用するので、それはすべての投稿要求に対して機能します。 app.use(csrf()); res.locals.csrfToken = req.csrfToken(); この方法では、次のようなすべてのフォームで自動的に利用できます。 <input type="hidden" name="_csrf" val

1熱

1答えて

Ajaxはデータを送信しません

私はajaxを使用してデータベースに保存するためにビューにデータを渡しています。 JavaScriptではデータが正しく表示されますが、ビューはnullです。他の質問のためのコード内のコメントや情報を読むマイjavascript： ... var changed_element=[]; var changed_value=[]; document.getElementById('tab

9熱

1答えて

symfony2：私の認証を覚えている間、無効なCSRFトークン

私はSymfony 2.8.11とFosUserBundle 2.0.0-beta1で書かれたアプリケーションを持っています。ユーザーは、VPNまたは基本認証を使用してサイトに接続できます。ほとんどの人は、Windows 7上でInternet Explorer 11を使用しています。サイト内でランダムなフォームで無効なCSRFトークンの問題が発生している人がいます。問題は、ページを数回リフレ

0熱

1答えて

フラスコ - 私は私のフォームを送信しようとするたびにCSRF_TOKEN行方不明のエラー

私は次のエラー受け取る：今イムはちょうどCSRF_Token不足しているエラーメッセージを修正しようとするために {'department': [u'Not a valid choice'], 'email': [u'This field is required.'], 'csrf_token': ['CSRF token missing'], 'name': [u'This field is r

1熱

2答えて

ActionController :: InvalidAuthenticityToken in Rails 5 with post only

私は単純なアプリケーションを持っていますが、Rails 5.0.0.1を使用しています（このアプリケーションはsimpletestと呼ばれています。私は奇妙なエラーが発生しています。はここでここでのconfig/routes.rbを Rails.application.routes.draw do root "foo#bar" get "dobaz" => "foo#bar"

2熱

1答えて

Spring Boot CSRF

最新のSpring BootでCSRF保護を実装しようとしました。インターネット上のすべての例は、私が必要としないユーザーのログインと認証に基づいています。私のサイトには認証が必要なセクションはありません。（にもかかわらず、私は必要ありません） application.propertiesに定義されたユーザ - - アプリケーションは_csrf.tokenを作成私は 1) Rest req

1熱

1答えて

IdentityServer4のCSRF保護

IdentityServer4には、すぐにCSRF保護が適用されるのですか、それを有効/強化するために何か設定する必要がありますか？私は/connect/authorizeと/signin-oidcの間を "state"の値が渡されているのを見ましたが、十分かどうかわかりません。重要な場合は、同意ページ（内部アプリケーション）とASP.NET MVC OIDCのないハイブリッドフローを使用していま

2熱

1答えて

サーバ側でanti-XSRF/CSRFトークンを生成する必要はありますか？

CSRFトークンはサーバー側で生成されるべきであると、CSRF対策メカニズムに関するほとんどすべての文書に記載されています。しかし、私はそれが必要かどうか疑問に思います。私はこれらの手順で抗CSRFを実装する：なし、サーバー側で生成されたCSRFトークンはありません。ブラウザ側では、すべてのAJAXまたはフォーム提出時に、JavaScriptがトークンとしてランダムな文字列を生成します。この

1熱

1答えて

なぜCORS前線はCSRF攻撃を阻止しないのですか？

Everyoneは、CORSはCSRF攻撃から防御するために何もしないと言います。これはCORSがドメイン外のドメインからドメインのリソースへのアクセス（読み取り）をブロックするためですが、ではが要求の処理を妨げていません。そのため、悪質なサイトは、結果を読み取ることができないことを気にせずに、状態を変更するDELETE要求を送信することができます。これはすべてうまくいいです。 pre-flig