token问题

Question

老师 要是设置了 withCredentials: true。然后我们在A网站登录了返回一个token种在cooike里，然后在token没失效的情况下打开第三方网站b，他通过接口去请求A网站的数据，cooike里的token不是也会自动带上吗。只是最后没有把token加到header上

Answer 1

ustbhuangyi 2020-07-12 18:24:03

b 请求 A 的接口并且设置了 withCredentials 为 true 的话，是可以携带 A 的 cookie 的。

• paopaomo #1

  B 可以拿到 A 生成的token,就可以假装用户去请求接口了,这样是不是就会有风险了?

• ustbhuangyi 回复 paopaomo #2

  是的，这就是一个 CSRF 攻击，所以 A 站点在访问的时候需要下动态发一个 CSRF token，然后请求的时候服务端会验证这个 CSRF token，这样 B 站点请求 A 是拿不到 CSRF token 的，请求无效。

• paopaomo 回复 ustbhuangyi #3

  好的,谢谢老师!

点开查看后面2条评论