Làm thế nào để bảo vệ chống lại CSRF khi sử dụng Backbone.js để đăng dữ liệu?

Question

Backbone.js xử lý dữ liệu đăng lên máy chủ dưới mui xe, do đó, không có cách nào dễ dàng để chèn mã thông báo CSRF vào tải trọng. Làm thế nào tôi có thể bảo vệ trang web của mình chống lại CSRF trong tình huống này?

Trong câu trả lời SO này: https://stackoverflow.com/a/10386412/954376, đề xuất là xác minh tiêu đề x-Requested-By là XMLHTTPRequest. Điều này có đủ để chặn tất cả các nỗ lực CSRF không?

Trong tài liệu Django, đề xuất là thêm mã thông báo CSRF vào tiêu đề tùy chỉnh khác trong mọi yêu cầu AJAX: https://docs.djangoproject.com/en/1.5/ref/contrib/csrf/#ajax. Điều này có cần thiết không?

Tôi hiểu nếu cuộc tấn công sử dụng biểu mẫu ẩn, tôi an toàn bằng cách chỉ đảm bảo yêu cầu là từ XMLHTTPRequest. Nhưng có bất kỳ thủ thuật tấn công CSRF nào có thể giả mạo tiêu đề không?

Answer 1

Bạn có thể sử dụng một prefilter để thêm dấu hiệu cho tất cả các yêu cầu:

$.ajaxPrefilter(function(opts) { 
    if (opts.data) { 
     opts.data += "&"; 
    } 
    opts.data += "csrfToken=" + token; 
}); 

Bạn có thể cần thêm logic bổ sung nếu bạn không phải lúc nào gửi mã thông báo.

Answer 2

Thiết lập một CSRF-dấu hiệu toàn cầu cho tất cả jQuery.ajax gọi:

$(function(){ 
    $.ajaxSetup({ 
    headers: {'X-CSRFToken': CSRF_TOKEN} 
    }); 
}) 

Thiết token chỉ cho Backbone bằng cách ghi đè Backbone.sync:

var oldSync = Backbone.sync; 
Backbone.sync = function(method, model, options){ 
    options.beforeSend = function(xhr){ 
    xhr.setRequestHeader('X-CSRFToken', CSRF_TOKEN); 
    }; 
    return oldSync(method, model, options); 
}; 

EDIT: Cố định một lỗi đánh máy Kadam điểm tại các ý kiến ​​

Answer 3

Tôi biết đó là một câu hỏi cũ, nhưng tôi sẽ để lại một liên kết đến repo github của mô-đun AMD chỉ cho điều này:

https://github.com/kuc2477/backbone.csrf.git (từ chối trách nhiệm: Tôi là tác giả của các mô-đun)

Answer 4

Dưới đây là một phiên bản cập nhật, có trụ sở tại Django 1.7 (sử dụng cookie jQuery plugin)

oldSync = Backbone.sync 
Backbone.sync = (method, model, options) -> 

    csrfSafeMethod = (method) -> 
     # these HTTP methods do not require CSRF protection 
     /^(GET|HEAD|OPTIONS|TRACE)$/.test method 

    options.beforeSend = (xhr, settings) -> 
     if !csrfSafeMethod(settings.type) and !@crossDomain 
      xhr.setRequestHeader 'X-CSRFToken', $.cookie('csrftoken') 
     return 
    oldSync method, model, options