[发明专利]一种防御跨站请求伪造CSRF攻击的方法、系统和装置

摘要

本发明实施例公开了一种防御跨站请求伪造CSRF攻击的方法、系统和装置。包括：网站服务器向登录成功的客户端发送会话cookie，所述会话cookie包括token值；客户端根据源网站服务器的完整域名，读取与该完整域名对应的会话cookie以及该会话cookie中的token值，将该会话cookie携带在Http请求的包头中，将该token值携带在http请求的包体里，向目标网站服务器发送该http请求；目标网站服务器将cookie中的token值和从http请求包体中读取的token值进行比较，如果不一致、或无法从cookie中读取token值，则不进行业务处理。应用本发明能够防御CSRF攻击。

主权项

一种防御跨站请求伪造(CSRF)攻击的方法，其特征在于，该方法包括：网站服务器向登录成功的客户端发送会话cookie，客户端接收所述会话cookie，识别所述网站服务器的完整域名，保存所述会话cookie与所述网站服务器的完整域名之间的对应关系，所述会话cookie包括随机口令(token)值；客户端在向目标网站服务器提交http请求时，根据请求该客户端发送该http请求的源网站服务器的完整域名，读取与该源网站服务器的完整域名对应的会话cookie，并读取该会话cookie中携带的token值，将该会话cookie携带在Http请求的包头中，将该token值携带在http请求的包体里，向该目标网站服务器提交该http请求；目标网站服务器接收客户端发来的Http请求，从所述http请求的包头中读取会话cookie，从所述Http请求的包体里读取token值，从所述会话cookie中读取token值，将从所述会话cookie中读取的token值和从所述http请求包体中读取的token值进行比较，如果一致，则根据所述Http请求进行业务处理，如果不一致、或无法从所述cookie中读取token值，则不进行所述业务处理。