CSRF防止：原産地とリファラーヘッダはありません。

Question

クライアントからの要求を受け入れるか、ブロックする前に、発信元とリファラーのヘッダー serversideをチェックして、CSRF防止を強化しようとしています。

1はどちらも行いません起源またはRefererヘッダを含め、すべての要求をブロックする必要がありowasp.org でthisサイトを参照：

起源とリファラーの両方が

存在しないとき何をします

これらのヘッダーのいずれも存在しない場合は非常にまれですが、要求を受け入れるかブロックすることができます。

ただし、新しいタブを開いて最初にページを読み込もうとすると、私のリクエストにはオリジナルまたはリファラーヘッダーがないため、最初のリクエストが取得されます。ブロックされる。

質問：これらのケースはどのように処理する必要がありますか？それとも私は何かを忘れてしまった？

注：私はCSRFトークン保護を使用していますが、この質問はヘッダーチェックに関するものです。

Answer 1

私はあなたの質問を正しく理解しているかどうかはわかりませんが、ページを最初に読み込むときには状態の変更要求はありません。そのため、要求は許可されるべきです。

フィルタは、リクエストが状態変更（put、deleteなど）されているかどうかを確認してから、適切なヘッダーがあるかどうかを確認する必要があります。