实施Google自定义网站搜索时的CSRF保护

Question

我们是否需要为使用Google自定义搜索的html表单实施CSRF保护？我认为没有必要。如果我们需要它，我们应该怎么做呢？

Answer 1

实际上它不是必需的，但是你想要实现或需要有一个想法，这就是我要做的。

1. 创建会话变量并将值传递给表单中的UI。
2. 将此值隐藏在表单中。
3. 当用户发布表单时，它会到达服务器。然后将隐藏值与会话变量进行比较。如果匹配，请向谷歌服务器执行卷曲请求并获得响应。

我建议使用curl请求，因为如果你是通过javascript进行的，那么保持CSRF验证是没有意义的。