[請益] CSRF問題

[asshole88 (愛嘶猴)]

各位好~

小魯最近在設計某機關的網頁後，經過漏洞檢測軟體掃瞄

出現了幾個HTML form without CSRF protection的警告

雖然風險程度不高，但是不知道要如何解決呢?

還是如何說服客戶呢??

謝謝

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.242.54.199
※ 文章網址: https://www.ptt.cc/bbs/PHP/M.1423152019.A.28F.html
推 LPH66: http://ppt.cc/DDB8
→ gname: 如果只是要過機器檢測的話,塞個簡單的 token 可以解決
→ asshole88: 請問如何比對server與client端token比較安全正確??
→ MOONRAKER: 原則上只要每次出form的時候生一個token，同時放在sess
→ MOONRAKER: 裡面，等form post回來的時候看兩者是否相符就可以了
→ MOONRAKER: 或者很多framework都有提供自動機制
→ asshole88: 謝謝~ 已順利解決