Come proteggere contro CSRF quando si utilizza Backbone.js per inviare dati?

Question

Backbone.js gestisce la registrazione dei dati sul server, quindi non esiste un modo semplice per inserire un token CSRF nel payload. Come posso proteggere il mio sito contro CSRF in questa situazione?

In questa risposta SO: https://stackoverflow.com/a/10386412/954376, il suggerimento è di verificare che l'intestazione x-Requested-By sia XMLHTTPRequest. Basta questo per bloccare tutti i tentativi CSRF?

In Django docs, il suggerimento è di aggiungere un token CSRF in un'altra intestazione personalizzata in ogni richiesta AJAX: https://docs.djangoproject.com/en/1.5/ref/contrib/csrf/#ajax. È necessario?

Capisco se l'attacco utilizza la forma nascosta, sono sicuro semplicemente assicurandomi che la richiesta provenga da XMLHTTPRequest. Ma ci sono trucchi di attacco CSRF che possono forgiare l'intestazione?

Answer 1

È possibile utilizzare un prefilter per aggiungere il token a tutte le richieste:

$.ajaxPrefilter(function(opts) { 
    if (opts.data) { 
     opts.data += "&"; 
    } 
    opts.data += "csrfToken=" + token; 
}); 

Potrebbe essere necessario aggiungere la logica aggiuntiva se non sempre inviare il token.

Answer 2

Impostazione di una CSRF token globale per tutte le chiamate jQuery.ajax:

$(function(){ 
    $.ajaxSetup({ 
    headers: {'X-CSRFToken': CSRF_TOKEN} 
    }); 
}) 

Impostazione il token solo per Backbone sovrascrivendo Backbone.sync:

var oldSync = Backbone.sync; 
Backbone.sync = function(method, model, options){ 
    options.beforeSend = function(xhr){ 
    xhr.setRequestHeader('X-CSRFToken', CSRF_TOKEN); 
    }; 
    return oldSync(method, model, options); 
}; 

EDIT: Corretto un errore di battitura punti Kadam at in comments

Answer 3

So che è una domanda un po 'vecchia, ma lascerò un link al repository github del modulo AMD solo per questo:

https://github.com/kuc2477/backbone.csrf.git (disclaimer: Sono l'autore del modulo)

Answer 4

Ecco una versione aggiornata, con sede a Django 1.7 (usando il plugin cookie di jQuery)

oldSync = Backbone.sync 
Backbone.sync = (method, model, options) -> 

    csrfSafeMethod = (method) -> 
     # these HTTP methods do not require CSRF protection 
     /^(GET|HEAD|OPTIONS|TRACE)$/.test method 

    options.beforeSend = (xhr, settings) -> 
     if !csrfSafeMethod(settings.type) and !@crossDomain 
      xhr.setRequestHeader 'X-CSRFToken', $.cookie('csrftoken') 
     return 
    oldSync method, model, options