¿Impedir un ataque CSRF usando expresiones regulares, almacenamiento de sesión y token de autenticación?

El almacenamiento de la sesión del navegador no se envía automáticamente cuando se inicia una solicitud de dominio cruzado. Por lo tanto, a medida que agrega el token de autenticación manualmente, esto actúa como una defensa CSRF por derecho propio y no necesita ninguna protección adicional.

Supongo que aquí hay una relación uno a uno entre el sitio web y la API web. De lo contrario, existe la posibilidad de que un consumidor de su API realice solicitudes de varios dominios a otro consumidor. Para combatir esto, debe vincular la sesión del usuario con el identificador del sitio web que realizó la solicitud de autenticación original, y verificar esto para cada solicitud adicional para mitigar el CSRF.

Sí, todavía necesita una implementación anti-CSRF de algún tipo, ya que todavía no puede verificar el origen de la solicitud.

Para que un ataque CSRF sea un poco más claro, eche un vistazo a este diagrama:

Sepuedeencontrarunaimplementacióndeanti-CSRF,usandoPHP, aquí .