这是一个创建于 2516 天前的主题，其中的信息可能已经有所发展或是发生改变。
疑问： 1、如何把 token 下发给前端，让其请求的时候带上来 2、假设单独出一个生产 token 的接口给前端用于获取 token，那么这个接口一旦暴露出来，等于 token 可以被三方来生成 3、如果依靠 refer 来验证下发接口的安全域名，应该也是可以伪造的
 | 1 kkikk 2018-11-21 16:50:37 +08:00 |
 | 2 EvilCult 2018-11-21 17:01:18 +08:00 顺着楼上 你这说说的不像是 CSRF,倒像是在说 JWT... 也可以顺便看看. |
 | 3 tomczhen 2018-11-21 17:02:46 +08:00 via Android csrf 的前提是基于浏览器，如果基于浏览器那么这三个问题要么不用考虑，要么无解。 想规避业务风险，只能往别的方向。 |
 | 4 jswh 2018-11-21 18:06:32 +08:00 同楼上，这不是 CSRF，是接口鉴权。 2.假设单独出一个生产 token 的接口给前端用于获取 token，那么这个接口一旦暴露出来，等于 token 可以被三方来生成 你这个攻击方都拥有客户端的权限了，你拦不住的。所有基于 HTTP 的接口都可以直接模拟的，只能说增加解析的难度。比如说，对传输的内容加密。然后代码混淆别人找不到你的加密方式，就没法正常的调用 api. |
Select Language