Забавный и глупый вопрос. https://jemurai.com/2018/08/27/csrf-tokens-with-restful-apis/ https://security.stackexchange.com/questions/166724/should-i-use-csrf-protection-on-rest-api-endpoints Обычный SPA (ангуляр) + RESTful (фласк)

Question

Забавный и глупый вопрос. https://jemurai.com/2018/08/27/csrf-tokens-with-restful-apis/ https://security.stackexchange.com/questions/166724/should-i-use-csrf-protection-on-rest-api-endpoints Обычный SPA (ангуляр) + RESTful (фласк)

проект, если один юзер кинет ссылку другому на logout (вырванную из api), то понятное дело, что произойдет.
Второй случай, когда на другом сайте форма с нужными данными и делает также отправку на logout (лечится с помощью cross, знаю).

Но вот первый случай не совсем понимаю как решать в restful, в обычном случае взял бы wtfForm который подставляет токен и дело с концом.
В api получается высылать токен в запросах, чтобы ангуляр подставлял в форму?

Читаю сейчас про JWT, но пока не вижу про случай выше

#flask #programming #russian

0

01.11.2019

3 ответов

29 просмотров

Tishka17

1. Просто ссылка - не проблема, так как это гет запрос. Из жс никто ничего не получит от твоего имени, если бэк на другом домене 2. От вставки формы в другой сайт защитит csrf.

0

01.11.2019

Vlad

logout должен быть реализован методом POST. В этом случае сервер потребует токена авторизации, который, как правило, передается в headers. И проблема будет решена.

0

01.11.2019

Сармат Курицын · Accepted Answer

Ну если не хочешь мучиться с междоменной аутентификацией. То может засунуть форму выхода в iframe с хостом на твой проект. Или просто разместить невидимый iFrame и обмениваться с ним инфой через PostMessage. Хотя последние, такое себе решение и не безапасное. если один юзер кинет ссылку другому на logout (вырванную из api), то понятное дело, что произойдет. Вообще не вижу проблемы, чтобы устранить такое поведение.

169 похожих чатов

Забавный и глупый вопрос. https://jemurai.com/2018/08/27/csrf-tokens-with-restful-apis/ https://security.stackexchange.com/questions/166724/should-i-use-csrf-protection-on-rest-api-endpoints Обычный SPA (ангуляр) + RESTful (фласк)

3 ответов

Похожие вопросы