javascript - CSRF 攻击和 Websocket

Question

websockets容易受到 CSRF 攻击，如果像登录这样的身份验证，怎么能做到这一点Websocket？

标签： javascriptwebsocket

Answer 1

我认为是的。

如果攻击者以某种方式从客户端初始化了一个套接字连接并发送消息，那么是的，CSRF 攻击是可能的。

当然，仅当您使用基于 COOKIE 的身份验证时，这才是正确的。

由于 CSRF 攻击使用 cookie，这些 cookie 由浏览器随请求自动发送，并且请求得到身份验证。

如果您使用 cookie 来验证请求和连接，那么是的，CSRF 攻击是可能的。

为了避免这些攻击，最好使用JWT之类的基于令牌的身份验证。

No Cookie-based authentication == No need for CSRF protection.

这里有一些关于AUTHENTICATION的有用链接：

cookie 与令牌身份验证

REST API 身份验证

你需要 CSRF 保护吗？