CSRF漏洞＆amp;云中我的Node.js后端的多个实例

Question

了解CSRF攻击会让我获得一个Nodejs应用程序的安全保护。它目前正在云中运行。服务器的多个实例正在运行，并且由云主机提供商使其透明。

我对保护应用程序免受CSRF的理解：

• 使POST处理程序期望“数据令牌”。
• 数据令牌是服务器端生成的，不能被篡改（使用机密散列）
• 为给定资源生成数据令牌，并在其他路由上被拒绝。
• 数据令牌在首次使用后必须过期（或“刻录”）。

处理数据令牌的常用方法是什么？我记得以下几点：

• 将令牌存储在共享数据库中？
  • 清除已过期的数据库＆amp;烧焦的令牌

Answer 1

如果生成令牌并在服务器端进行散列，则可以将它们传递给客户端，然后在服务器端检索它们而不将它们存储在数据库中。我认为Json Web Token身份验证原则可以为您提供一些想法。

在我看来，你使用限制时间戳服务器端对json对象进行加密，将其传递给客户端，客户端在发布表单时将其发送回服务器，然后将其解密（只有你可以使用秘密）和PUFF！检索原始数据。