我从测试公司得到了这个测试问题，_frontendCSRF cookie会导致sql注入。他们为login页提供了它。我的应用程序是yii2的构建。这是详细信息。
_frontendCSRF cookie似乎容易受到SQL注入攻击 攻击。有效载荷'）和％20benchmark（20000000％2csha1（1）） - ％20是 在_frontendCSRF cookie中提交。申请耗时11004 与1681相比，响应请求的毫秒数 原始请求的毫秒数，表示已注入 SQL命令导致时间延迟。
Cookie: PHPFRONTSESSID=62ca0ebed7ad7d7c5e15a8c267f77551; current_shop=2; site_url=http%3A%2F%2F52.6.251.159%2F%7Edemoecom%2Fbuyold%2Ffrontend%2Fweb; blog_url=http%3A%2F%2F52.6.251.159%2F%7Edemoecom%2Fbuyold%2Fblog; is_buyold_login=0; _language=ba7c0570c541af8890cb020f80553258ee37070af083c555286d73a4165020c5a%3A2%3A%7Bi%3A0%3Bs%3A9%3A%22_language%22%3Bi%3A1%3Bs%3A2%3A%22au%22%3B%7D; _frontendCSRF=ae5e122353d27ce1288157fc2b42e65dacf96d5fc4c5d0d7f883c19215138691a%3A2%3A%7Bi%3A0%3Bs%3A13%3A%22_frontendCSRF%22%3Bi%3A1%3Bs%3A32%3A%22S8P_oYh_fNd-eODMV4NMrUqkebCWEKsL%22%3B%7D')and%20benchmark(20000000%2csha1(1))--%20; __atuvc=6%7C31; __atuvs=57a03a16ead33d80005
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 153
现在我的项目处于测试阶段模式，因此它位于http。它的解决方案是什么？
我可以在会话中使用_frontendCSRF，还是https会解决它？任何帮助将不胜感激。
答案 0 :(得分：1)
这听起来非常令人担忧，但是从当前的Yii 2.0.9框架中查看实际代码，我没有看到验证过程中使用了任何SQL：yii2/web/Request.php
现在我不是安全专家......你可能想要