security - yii2 CSRF 不验证主机

Question

我面临的另一个问题是我的站点是在 yii2 中创建的，并且 CSRF 已启用，但是当我复制包含 csrf 令牌的完整表单并在服务器外部创建新的 html 文件并从服务器外部提交表单时，它接受我的表单。

预期的结果是什么？

它应该给出许可问题

你会得到什么？

它成功接受表单不确定我是否缺少任何配置或什么

Yii 2.0.6 版本

PHP 版本 5.5.38

操作系统 CentOS 6.9 版（最终版）

标签： securityyii2csrfyii2-advanced-appyii2-validation

Answer 1

CSRF 保护基于这样一个事实，即第三方网站不应该知道您用户的 CSRF 令牌。如果你暴露 CSRF 令牌，那么整个保护将不起作用。这是设计使然。

如果您想阻止来自不受信任域的请求，您可能应该使用CORS。