Say*_*awy 3 security http-token-authentication
网站可以将 csrf_token 显示为 URL 参数吗？我有一种感觉，我应该看不到它，但我不太确定。如果有人能澄清这一点，我将不胜感激！
不，这是不可接受的。
在 URL 中传递令牌通常不是可接受的解决方案。实际上，在某些情况下它被认为是一个漏洞。
如果网站未在HTTPS下运行怎么办？
如果它在HTTPS下运行但服务器上未启用HSTS怎么办？那么SSL-Stripping技术和其他MITM攻击将成为可能。
即使它在HTTPS下运行并且启用了HSTS，也无法解决问题。
令牌可能会暴露在：
欲了解更多信息，请参阅：
| 归档时间： |
|
| 查看次数： |
2706 次 |
| 最近记录： |