CSRF 보호 : 요청마다 CSRF 토큰을 보내는 방법

Question

내 초기 코드는 CRUD 작업과 같이 내 데이터베이스의 상태를 변경할 수있는 요청에 대한 토큰을 생성했습니다. 토큰은 요청마다 생성됩니다. 다른 데이터와 함께 JSON 형식으로 클라이언트 측에 보냈습니다.이 토큰이 요청과 함께 반환되고 요청 완료 후 변경 될 것으로 예상했습니다. 하지만 코드 (CRUD 작업)의 일부만 구현하여 다시 실행하고 웹용으로 만들라는 명령을 받았습니다. 최선의 방법은 필터를 사용하는 것입니다.

제 문제는 클라이언트가 각 요청에 대해 "토큰"을 보내도록하려면 어떻게해야합니까? 쿠키로 설정합니까? 내 옵션은 무엇입니까? 제발 조언.

Answer 1

가장 좋은 방법은 모든 링크가 GET 요청이어야하며 get 요청 내에서 애플리케이션 상태를 수정해서는 안됩니다. 따라서 GET 요청의 경우 CSRF 토큰이 필요하지 않습니다.

응용 프로그램 상태를 수정하는 POST 요청의 경우 폼에 숨겨진 csrf 필드를 생성하고 양식을 제출하는 동안 서버의 토큰을 확인해야합니다.