域特定cookie是否易受CSRF攻击

Are domain-specific cookies vulnerable to CSRF?

本文关键字：易受 CSRF 攻击是否 cookie 更新时间：2023-09-26

假设我在浏览器中设置了一个特定于域的cookie，如下所示：

document.cookie="foo=bar;domain=.baz.com"

这个cookie易受CSRF影响吗？我一直没能找到这个问题的明确答案。我们目前有一个使用JWT设置的身份验证系统，我正试图找出如何跨域扩展这些会话。

是。

CSRF攻击导致受害者在其已通过身份验证的站点上执行意外操作。它通过欺骗用户提交表单（或类似的操作）来工作。提交的源可以托管在任何域上，但目标是他们登录的网站。由于cookie是由原始网站设置的，因此它将与意外操作一起发送。

所有cookie都有域。如果您作为开发人员没有设置它们，浏览器将使用当前主机名作为域。域被专门设置为匹配更多主机，这一事实只会使潜在的目标站点变得更大。

请参阅跨站点请求伪造（CSRF）