csrf-protection

4熱

1答えて

春ブーツとCSRF - Forbitten 403 - 私の春ブーツ/ AngularJSアプリケーションで>間違ってログアウト

私は、次のCSRF-設定があります。：CSRF-トークンフィルターは次のようになります @Override protected void configure(final HttpSecurity http) throws Exception { http.csrf().csrfTokenRepository(csrfTokenRepository()); http.sessionMa

0熱

2答えて

シングルページWebAPIをCSRF攻撃から保護する方法は？

私はanglejsを使用して構築された単一のページアプリケーションを持っています。これは$ httpサービスを使用してGETリクエストとPOSTリクエストを発行します。サイトはユーザーを認証せず、匿名です。匿名のWebサイトに対するCSRFの攻撃を防ぐ方法はありますか？私は$ HTTPサービスを使用するangularjsでそれを実装するための多くのポストを見つけました。しかし、それが匿名のアプリケ

0熱

1答えて

Spring MVCセキュリティトークンベースの認証

誰でもこのことを助けてくれますか？私は、既存のWebアプリケーションを保護するように割り当てられています。問題：ユーザーがすでにアプリケーションにログインしている（セッションがアクティブであることを意味する）場合、攻撃者は入力フィールドを推測してURLを保存して同様のページを作成し、ハイパーリンクを送信できます。ユーザーがそのリンクをクリックすると、javascriptを経由せず、むしろバネコ

1熱

1答えて

CSRF攻撃中にRefererヘッダーを偽装することはどのようにできませんか？

CSRF攻撃に対するアプリケーションの唯一の防御は、同一起点のリファラーヘッダをチェックすることであるとします。また、すべてのブラウザがリファラーヘッダーを送信するとします（必ずしもそうではありませんが）。ユーザーが自分のリファラーヘッダーをスプーフィングするのは簡単ですが、CSRF攻撃者が同じことを行うにはIMPOSSIBLEだと読んでいます。 1.）あなたはどのようにリファラーヘッダを偽装し

1熱

1答えて

CSRF同期トークン

同期トークンパターンでは、常にCSRFトークンが隠しフィールドまたはURLに表示されます。それをAjaxの投稿要求の最後に添付し、サーバーがそれを使用する必要があるかどうかを決定させるのは安全ですか？それはなぜ人々はそれをしないのですか？

0熱

1答えて

CSRF攻撃：javascriptを使用してユーザーエージェントのヘッダーを変更できますか？

潜在的なCSRF攻撃から防御するために、どのブラウザが使用されているかを調べるためにユーザーエージェントヘッダーを使用したとします。私は、ユーザーエージェントヘッダーを必要としない無数のCSRF防御があると理解していますが、ユーザーエージェントヘッダーがどれほど安全であるかを知りたいだけです。オリジンヘッダーとリファラーヘッダーは、forbidden headersであるため、このような変更から

0熱

1答えて

いくつかのテストでVerifyCsrfTokenを有効にするにはどうすればよいですか？

デフォルトでLaravel disablesVerifyCsrfToken実行中のテストのミドルウェア。その結果、私はAPIルートが成功するためにはcsrfトークンが必要であることに気付かなかった。いくつかのテストでそれを有効にする方法はありますか？ function withVerifyCsrfTokenMiddleware() { $this->app... // here we'

0熱

1答えて

セールアプリケーションでCSRF保護とJWTを同時に使用する方法はありますか？

私は帆を使ってアプリケーションを開発中です。ウェブとモバイル。私はアプリケーションがウェブ上で訪問しているときに提供するCSRF保護を使用したいと思います。リクエストがモバイルアプリから送信された場合。ペイロードでjwtを送信します。帆の文書でプロパティーが見つかりましたcsrf.routesDisabledいくつかのルートでCSRFを無効にしました。しかし、それは私が望むものではありません。

0熱

1答えて

ウェブサイトのPOSTリクエストでCSRFを防止する

CSRF攻撃を防ぐために、私はリファクタリングする必要がありますが、タグライブラリを持たないwebapp（jspはあまりない）です。私はここで説明するようなアルゴリズムを使用することはできませんが、私はノンスIDは私にとって最高のソリューションだと思う：https://tomcat.apache.org/tomcat-8.0-doc/config/filter.html#CSRF_Preventi