सीएसआरएफ केवल बैकएंड आरईएसटी अनुप्रयोग के लिए जेएसओएन उपभोग करने के लिए अनिवार्य है?

Question

कई संसाधनों का दावा है कि (source1) (source2)

RESTful वेब सेवाओं द्वारा उजागर संसाधनों के लिए, यह सुनिश्चित करें कि किसी भी PUT, पोस्ट बनाने के लिए, और DELETE अनुरोध क्रॉस साइट रिक्वेस्ट फोर्जरी से सुरक्षित है के लिए महत्वपूर्ण है।

CSRF वेब सुरक्षा के बारे में चिंता की एक न्यूनतम के साथ सभी आवेदनों के लिए अनिवार्य है

हालांकि the Spring Security docs कहते हैं: किसी भी अनुरोध है कि द्वारा एक ब्राउज़र द्वारा संसाधित किया जा सकता है के लिए

उपयोग CSRF संरक्षण सामान्य उपयोगकर्ता यदि आप केवल सेवा बना रहे हैं जो गैर-ब्राउज़र क्लाइंट द्वारा उपयोग की जाती है, तो आप शायद सीएसआरएफ सुरक्षा अक्षम कर सकते हैं।

तो, क्या किसी एप्लिकेशन के लिए सीएसआरएफ को अक्षम करना ठीक है?

• केवल एक REST API
• केवल JSON (चेकों अनुरोध Content-Type हैडर)

Answer 1

खपत यह अपने एपीआई के ग्राहक पर निर्भर करता है उजागर करता है। सीएसआरएफ हमले इस तथ्य पर आधारित हैं कि क्लाइंट स्वचालित अनुरोध के साथ अनुरोधित यूआरएल की कुकीज़ (प्राधिकरण) भेजता है। यदि आपका ग्राहक ऐसा नहीं कर रहा है (आमतौर पर ब्राउज़र स्वचालित रूप से ऐसा करते हैं), तो आपको ठीक होना चाहिए।

कारण यह है कि: यदि आपका एपीआई उपभोक्ता आपके एप्लिकेशन में कुकीज (जो स्वचालित रूप से ब्राउज़र द्वारा संग्रहीत होते हैं) के माध्यम से आपके आवेदन में प्रमाणित/अधिकृत नहीं है, तो हमलावर सफल सीएसआरएफ हमले करने के लिए किसी अन्य वेब पेज का उपयोग नहीं कर सकता (HTTP अनुरोध भेजें ब्राउज़र से अपने एपीआई की कुकीज़ के साथ अन्य पेज)।

दूसरे शब्दों में, मैं कल्पना नहीं कर सकता कि आपके पास एपीआई क्लाइंट लिखा होगा कि यह आपके एपीआई, स्टोर कुकीज़ (आपके प्रमाणीकरण) को अनुरोध भेज सकता है और किसी भी तरह से आपको कुछ सामग्री दिखा सकता है जो "मूर्ख" उपयोगकर्ता इंटरैक्ट करता है - पिछले एपीआई अनुरोधों से कुकीज़ (आपके प्रमाणीकरण) के साथ आपके एपीआई को अनुरोध भेजता है।

CSRF टोकन पर Http Session आधारित उत्पन्न होता है:

Answer 2

सुंदर आसान यह समझाने के लिए। यदि आपका एपीआई http सत्र धारण कर रहा है, तो आप इसे सीएसआरएफ टोकन के साथ सुरक्षित रूप से सुरक्षित करना चाहते हैं, BUT अधिकांश आरईएसटी सेवाओं को स्टेटलेस होने के लिए डिज़ाइन किया गया है, उस स्थिति में आप CSRF टोकन का उपयोग नहीं कर सकते/नहीं कर सकते हैं।