關(guān)于RESTful標(biāo)準(zhǔn)服務(wù)是否需要方法跨站請(qǐng)求攻擊涕蜂，網(wǎng)上有很多討論析校，總結(jié)下來核心的關(guān)鍵點(diǎn)在于是否使用了cookie礁哄，而就目前而言长酗，REST標(biāo)準(zhǔn)下的服務(wù)接口，即便API做到了無狀態(tài)桐绒，用戶令牌（Token）也很經(jīng)常會(huì)放到localStorage或者cookie中花枫，這些情況下本質(zhì)上與RESTful的無狀態(tài)標(biāo)準(zhǔn)定義不沖突刻盐，但是必須要考慮XSS（跨站腳本攻擊）、CSRF（跨站請(qǐng)求攻擊）的防范需求了劳翰。
Cookie中有個(gè)HttpOnly的屬性敦锌，如果沒有設(shè)置為true，使用js腳本可以拿到其中存儲(chǔ)的內(nèi)容佳簸，惡意頁面可能會(huì)通過嵌入代碼拿到用戶未保護(hù)的cookie值乙墙，如果存儲(chǔ)的是用戶敏感身份信息，并且網(wǎng)站服務(wù)沒有更多的保護(hù)措施生均，那么黑客便可以偽造用戶的身份為所欲為了听想。localStorage同樣存在XSS安全風(fēng)險(xiǎn)，因此不應(yīng)用來存儲(chǔ)敏感數(shù)據(jù)马胧。
CSRF在用戶打開了黑客的惡意頁面時(shí)發(fā)生汉买，通過簡單的嵌入<img>標(biāo)簽或者iframe，能在用戶無感知的情況下使用用戶的cookie數(shù)據(jù)訪問其他網(wǎng)站的GET佩脊、POST接口服務(wù)蛙粘，雖然黑客得不到被保護(hù)cookie中的值，甚至無法解析響應(yīng)報(bào)文內(nèi)容威彰，但是接口的隨意偽造調(diào)用帶來的風(fēng)險(xiǎn)巨大出牧。因此一般情況下網(wǎng)站服務(wù)需要考慮csrf的安全防護(hù)久橙。
但如果是REST標(biāo)準(zhǔn)的API服務(wù)方呢中贝？
在REST標(biāo)準(zhǔn)下，GET方法不會(huì)產(chǎn)生數(shù)據(jù)修改镀首，最多會(huì)產(chǎn)生一些額外的日志數(shù)據(jù)和網(wǎng)絡(luò)流量豹缀，因此對(duì)于GET請(qǐng)求無需對(duì)csrf設(shè)防伯复。而POST方法需要考慮其允許的Content-Type，如果僅支持application/json格式邢笙，那么嵌入的iframe頁面中的form提交產(chǎn)生的form-data或者form-urlencoded請(qǐng)求無法成功边翼，而使用XmlHttpRequest發(fā)起的post請(qǐng)求，因?yàn)闉g覽器的同源策略鸣剪，又會(huì)要求發(fā)起預(yù)檢（preflight）請(qǐng)求组底，因此也不能夠成功。而其他Patch筐骇、Delete债鸡、Put方法的請(qǐng)求，既不能通過iframe達(dá)成铛纬，也無法跳過預(yù)檢請(qǐng)求步驟厌均，因此在僅支持application/json的POST情況下，RESTful接口提供服務(wù)方可以不用考慮csrf安全防護(hù)告唆。
其他情況下棺弊，就不得不考慮防御下csrf攻擊了晶密。如果面臨這種需求，可以從以下方法著手：
- 驗(yàn)證請(qǐng)求Referer：
對(duì)于使用非IE6非hack版本奇葩瀏覽器的正常用戶模她，攔截下請(qǐng)求的Referer稻艰，只允許受信任的來源方發(fā)起的請(qǐng)求，基本上就是改動(dòng)最小效果最快的csrf防御手段了侈净。 - 考慮下用戶token真的需要保存到cookie中嗎尊勿？
如果關(guān)閉瀏覽器就結(jié)束會(huì)話，下次重新登錄可以接收畜侦，那就不要寫cookie了元扔；如果用戶需要自動(dòng)續(xù)簽token，要做到無感知自動(dòng)登錄旋膳，可以寫個(gè)refresh_token用來在下次請(qǐng)求時(shí)重新續(xù)簽token（重新生成）澎语，這個(gè)token數(shù)據(jù)就存在瀏覽器內(nèi)存變量中，然后在后續(xù)請(qǐng)求中攜帶上新的token信息验懊，而不是寫到cookie里擅羞。 - 用csrfToken，用戶登錄成功后鲁森，或者驗(yàn)證身份成功后，生成一個(gè)隨機(jī)csrfToken給前端振惰，后續(xù)請(qǐng)求時(shí)帶上這個(gè)歌溉。csrfToken不用驗(yàn)證身份，只需判斷是否是真實(shí)簽發(fā)過的就行骑晶，可以簡單放到redis集合數(shù)據(jù)中痛垛。
