http - 是否存在不使用 cookie 的 CSRF 攻击？

Question

假设 HTTP 服务器实际上根本不从 cookie 中读取数据。所有数据都来自请求的不同部分：headers、body、url 等。这个事实是否保证不会有 CSRF 攻击？

标签： httpcsrf

Answer 1

CSRF 并不特别需要 cookie。它需要由浏览器自动发送的身份验证。例如，其他此类身份验证形式包括 http 基本身份验证和客户端证书。

如果使用特定的 http 标头进行授权（例如不记名令牌），则有效地阻止了 CSRF。