csrf

6熱

2答えて

FacebookキャンバスアプリのRails 3でprotect_from_forgeryをバイパスするにはどうすればよいですか？

私はRails 3 Facebookキャンバスアプリを持っています。それがロードされると、無効な真偽トークンエラーが表示され、Facebookが私のアプリに送るsigned_requestパラメータが表示されます。 facebookからsigned_requestのために 'protect_from_forgery'をバイパスする方法はありますか？ありがとうございます！ティム

37熱

8答えて

CSRFトークンの生成

これはCSRFトークンの生成に関する質問です。通常、ユーザーのセッションに関連付けられた一意のデータに基づいてトークンを生成し、秘密鍵でハッシュして塩漬けします。私の質問は、使用する一意のユーザーデータがない場合にトークンを生成することです。セッションは利用できません。クッキーはオプションではありません.IPアドレスなどは信頼できません。リクエストの一部としてハッシュ文字列を含めることができ

3熱

3答えて

OpenID iframeへのCSRFの実装

私はCodeigniter 2.0 WebサイトでJanrain Open IDを実装しました。私のcodeigniter設定ファイルでCSRFの保護を有効にするまではうまくいっていました。私はそれを読んで、自分のウェブサイトのすべてのフォームにトークンを含む非表示のフォーム要素を含める必要があると思われます。受信したページから投稿が読み取られた後、クッキートークンに対して検証されます。これは

3熱

1答えて

a）CSRFトークン+ SSLなしのHTTP認証、またはb）deviseでCSRFトークンを要求する方法

私は、サーバー上で実行されているdeviseを使用してユーザー登録でRails 3アプリケーションを構成しました。私は人々がウェブサイトを通じてサーバーにログインし、人々がアカウントを作成して、Iphone Appを使用してログインできるようにしています。人々がiPhoneアプリを使用している場合は、私はこれらの二つの動作をサポートしたいと思います：CSRFのないアカウントの a）にサインアップ

1熱

1答えて

どのブラウザでRails 3 XSRF保護が機能していますか？

いくつかのカスタムHTML5タグ、ハッシュセキュリティーキーを生成するRails 3のlink_toメソッドに対する素晴らしいXSRF保護があります.HTTP GETの代わりに安全なPUT/DELETE/POSTメソッドを使用してリクエストを送信することができます。とても素敵ですね。しかし、私はこのブラウザがどのブラウザで動作するのか疑問に思っていますか？ JavaScriptが無効になっている

2熱

1答えて

PHPセッショントークンは複数回使用できますか？

AJAXの応答ページである通常のHTMLページとページであるページAを取得しました。そして私はトークンによるCSRF攻撃を防ぎたい。このメソッドをオートコンプリートフォームに使用すると、このメソッドを疲れたので、同じトークンを複数回使用することは可能です（もちろんセッションは1回のみ設定されます）。 <?php session_start(); $token = md5(uniqid(rand

10熱

2答えて

GrailsでXSRFをどのように保護しますか？

GrailsでXSRF攻撃からどのように保護されますか。私はそのフォームがuseTokenの概念をサポートしているのを見ています（これは十分であるはずです）。ただし、remoteFormやその他のAJAX関連のリクエストはこの機能をサポートしていません。また、useTokenの機能を逆にして、ケースバイケースで有効にするのではなく常に使用する方法がありますか？

2熱

2答えて

symfonyによるCSRFの保護

CSRF保護を有効にするための既存のフォーム（保護なし）でSymfonyのマニュアルを見つけることができません。私は上のトークンとしてcsrf_protectionを設定しましたが、フォームが失敗していると私は、何かが正常に動作するために必要であると思います。

5熱

2答えて

Django 1.2では{％csrf_token％} CSRF保護タグはまだ必要ですか？

私は自分のサイトでCSRFの保護をテストしていますが、予期せぬことに気付きました。私は{% csrf_token %}を私のフォームから削除しましたが、依頼は依然として機能しています。なぜ私はうまくいかない。私はソースを見て、トークンがまだ<form>要素のすぐ隣にあることを認識しました。フォームのIDを変更して、ソースを間違いなく更新していたことを確認しましたが、隠れた入力はまだ残っています。

1熱

1答えて

Rails 2 ActionController :: Base.session [：secret]はRails 3 Main :: Application.config.secret_tokenと冗長化されていますか？

Rails 2 ActionController :: Base.session [：secret]はRails 3 Main :: Application.sconfig.secret_tokenと冗長化されていますか？私はactiverecordセッションを使用しています - セッションクッキーの秘密はまだ必要ですか？フォーム提出の検証に同じ秘密が使用されていますか？