Как сделать csrf защиту формы на стороннем ресурсе?

Question

[alex stephen]

В общем, есть некий виджет, который будет встраиваться в сторонние сайты и отправлять Ajax post на наш api. Публичная часть api-ключа будет висеть на клиенте. Как сделать так, чтобы злоумышленник не смог со стороннего ресурса (или просто curl’ом) имитировать эти запросы? Referer легко подделывается, остаётся только csrf. Можно ли это реализовать для стороннего ресурса?

Answer 1

[Евгений]

Я правильно понимаю, что у вас есть подключаемый виджет, из которого любой юзер БЕЗ авторизации может post'ить данные к вашему бэкенду и вы задаетесь вопросом как же сделать так, чтобы только из тех мест, где подключен виджет можно было постить, а из других нет?

Если я понял правильно, то может вам следует подумать о каком-то whitelist списке разрешенных ресурсов из которых можно постить?

Еще ожно было бы наверное запрашивать csrf токен у бэкенда при генерации самого виджета и при сабмите валидировать. Но кто тогда помешает стороннему "злоумышленнику" попросить таким же образом этот токен у бэкенда?

P.S. ну и соответственно как-то сам виджет неплохо бы авторизовывать. Можете посмотреть это на примере какого-нибудь подключаемого виждета комментариев, например disqus. Вы регистрируетесь в системе и помимо всего прочего вам выдают реквизиты, которые необходимы для подключения скрипта. Тем самым дискус всегда понимает что с вашего сайта, который вы зарегистрировали в системе, с вашими реквизитами, которые вам эта система выдала приходят валидные комментарии.

Comments

[alex stephen]

Ну, по факту, да, у нас будет whitelist... Но, как проверить, что постили именно с указанного сайта?

Про авторизацию подумаю, спасибо за наводку

[Евгений]

на php я проверяю примерно так

function checkUserIP()
{
    if (!empty($_SERVER['HTTP_X_REAL_IP'])) {
        $ip=$_SERVER['HTTP_X_REAL_IP'];
    }
    elseif (!empty($_SERVER['HTTP_CLIENT_IP'])) {
        $ip=$_SERVER['HTTP_CLIENT_IP'];
    }
    elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
        $ip=$_SERVER['HTTP_X_FORWARDED_FOR'];
    } else {
        $ip=$_SERVER['REMOTE_ADDR'];
    }
    return $ip;
}

И вот ознакомьтесь с этой статьей. Там подробно про этот подход, и возможные подводные камни при определенной серверной архитектуре https://habrahabr.ru/post/177113/

Answer 2

[Виталий]

может стоит отдавать ваш виджет через iframe и генерировать разовый ключ для валидации после отработавшего фингерпринта?
это конечно не будет спасать от всего, но любители CURL пойдут курить.