使用无状态（=无会话）身份验证时需要CSRF令牌吗？

当应用程序依赖无状态身份验证（使用HMAC之类的东西）时，是否有必要使用CSRF保护？

例：

• 我们只有一个页面应用程序（否则，我们必须在每个链接上附加令牌：<a href="...?token=xyz">...</a>。

• 用户使用进行身份验证POST /auth。成功认证后，服务器将返回一些令牌。

• 令牌将通过JavaScript存储在单页应用程序内的某个变量中。

• 该令牌将用于访问受限制的URL，例如/admin。

• 令牌将始终在HTTP标头中传输。

• 没有Http会话，也没有Cookie。

据我了解，应该不会（？！）使用跨站点攻击，因为浏览器不会存储令牌，因此它无法自动将令牌发送到服务器（使用Cookies /时会发生这种情况。会话）。

我想念什么吗？

我发现使用约CSRF +的一些信息没有进行身份验证cookie：

1. https://auth0.com/blog/2014/01/07/angularjs-authentication-with-cookies-vs-token/
   “由于您不依赖Cookie，因此无需防御跨站点请求”

2. http://angular-tips.com/blog/2014/05/json-web-tokens-introduction/
   “如果我们采用cookie方式，则确实需要执行CSRF以避免跨站点请求。这是我们可以做的就会忘记使用JWT的时间。”
   （JWT = Json Web令牌，这是针对无状态应用程序的基于令牌的身份验证）

3. http://www.jamesward.com/2013/05/13/securing-single-page-apps-and-rest-services
   “在不冒CSRF漏洞风险的情况下，进行身份验证的最简单方法是避免使用Cookie来识别用户”

4. http://sitr.us/2011/08/26/cookies-are-bad-for-you.html
   “ CSRF的最大问题是cookie绝对无法抵御此类攻击。如果您使用cookie身份验证，您还必须采取其他措施来防御CSRF。您可以采取的最基本的预防措施是，确保您的应用程序永远不会对GET请求做出任何副作用。”

还有很多页面，如果您不使用cookie进行身份验证，则表明您不需要任何CSRF保护。当然，您仍然可以将Cookie用于其他所有内容，但要避免在其中存储任何类似session_id内容。

如果您需要记住用户，则有两种选择：

1. localStorage：浏览器内键值存储。即使用户关闭浏览器窗口，存储的数据仍然可用。其他站点无法访问该数据，因为每个站点都有自己的存储空间。

2. sessionStorage：也是浏览器中的数据存储区。区别在于：当用户关闭浏览器窗口时，数据将被删除。但是，如果您的Web应用包含多个页面，它仍然很有用。因此，您可以执行以下操作：

   • 用户登录，然后将令牌存储在 sessionStorage
   • 用户单击一个链接，该链接将加载一个新页面（= 真实链接，并且没有javascript内容替换）
   • 您仍然可以从以下位置访问令牌 sessionStorage
   • 要注销，您可以从中手动删除令牌，也可以sessionStorage等待用户关闭浏览器窗口，这将清除所有存储的数据。

（两者都可以在这里查看：http : //www.w3schools.com/html/html5_webstorage.asp）

令牌认证有任何官方标准吗？

JWT（Json Web令牌）：我认为它仍然是草案，但是它已经为许多人所使用，并且该概念看上去简单而安全。（IETF：http：//tools.ietf.org/html/draft-ietf-oauth-json-web-token-25）
也有很多框架可用的库。只是谷歌！

TL; DR

如果使用JWT，但不使用Cookie，则无需CSRF令牌-但是！通过将JWT存储在session / localStorage中，如果您的站点具有XSS漏洞（相当普遍），则可以公开JWT和用户的身份。最好向csrfTokenJWT 添加密钥，并将JWT存储在具有secure和http-only属性集的cookie中。

阅读这篇文章，并提供详细说明，以获得更多信息 https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage

您可以通过包含xsrfToken JWT声明使此CSRF保护变为无状态：

{ "iss": "http://galaxies.com", "exp": 1300819380, "scopes": ["explorer", "solar-harvester", "seller"], "sub": "tom@andromeda.com", "xsrfToken": "d9b9714c-7ac0-42e0-8696-2dae95dbc33e" }

因此，您需要将csrfToken存储在localStorage / sessionStorage以及JWT本身（存储在仅基于HTTP的安全cookie中）中。然后，为了保护csrf，请验证JWT中的csrf令牌是否与提交的csrf-token标头匹配。