Гайавата через раз детектит CSRF

Не вижу в запросе CSRF-токена.
Покажи «годный» запрос.

Гайавата

Ловить CSRF - роль веб-приложения, а не сервера. Отменить, уже просветился.

Как понять «годный»?

На который ты получаешь ожидаемый ответ, а не отлуп.

Реализации могут быть разные, но проблема CSRF может проявляться как правило там, где нет привязки сессии к IP

Точно такой же, один в один. При первом запросе браузер получает 200 OK, при втором - 400. Третий - 200, четвертый - 400. И так далее

Я не знаю что такое сессии, но куки вообще никакие не используются, если ты об этом

Чем ты формируешь запрос и зачем тебе вот этот заголовок?

Origin: http://192.168.88.100:9090

Это не я, это хром. Я вообще не добавляю заголовки. Только вызываю методы open и send у XMLHttpRequest

Этот заголовок используется для организации кроссдоменных запросов

Покажи js-код, которым ты такое формируешь

Кусочек из функции:

this.xhr = new XMLHttpRequest();
data = JSON.stringify(data);
this.xhr.open("POST", url);
this.xhr.send(data);

Твои размышления про Origin заставили посмотреть в конфиг сервера. Там в качестве Host был прописан 192.168.88.100. Исправил на 192.168.88.100:9090 - ошибка перестала появляться. Спасибо.

Правда не совсем понимаю почему такое поведение

Используй вместо IP какой-нибудь хостнэйм. Избежишь в будущем кучи непонятных ошибок.

Правильно я понимаю, что при загрузке index.html браузер сообщает серверу, что он 192.168.88.100:9090. Сервер отвечает, что он 192.168.88.100 (без номера порта). Браузер делает вывод, что это другой домен и отправляет все запросы как CORS?

Реализации могут быть разные, но проблема CSRF может проявляться как правило там, где нет привязки сессии к IP

нет.

обычно проблема CSRF возникает в том случае когда вёбразработчик не знает что такое CSRF :-) ..

и (в частности) привязка сессии к IP — не решает проблему CSRF *СОВЕРШЕННО_НИ_КАК* (даже на чуть-чуть!) ! то есть твоё предложение, товарищ Аноним, это канонический пример человека, который не зная что такое CSRF, всё равно какбы пытается его тщетно избежать :-) ..

makoven ★★ (07.07.2015 13:31:05)> Я не знаю что такое сессии, но куки вообще никакие не используются, если ты об этом

а! ну если нет куков (и нет localStorage, и нет прочих подобных сущостей, которые запоминали бы хоть-что-то на строне клиента) — то значит и CSRF возникнуть не может!

то есть на HelloWorld не возникают CSRF , даже если вёббразработчик (который делал HelloWorld) не знает что такое CSRF :-)

Я погуглил. Теперь я знаю что такое сессии

http://postimg.org/image/g349yu5hd/

Мне кажется, что ты знаешь что-то дельное по теме, кроме осуждений )

да, скриншот — подтверждает :-)

Мне кажется, что ты знаешь что-то дельное по теме, кроме осуждений )

знаю и уже высказал!

знание о том что привязка по IP не спасает.

а вообще:

Там в качестве Host был прописан 192.168.88.100. Исправил на 192.168.88.100:9090 - ошибка перестала появляться. Спасибо.

что я после этого ещё могу ответить? :-)

Если не трудно, ответь, почему ошибка появлялась через раз?

ну вообще через раз не должно быть.. нужно больше экспериментов чтоб понять.

(возможно баг?)

наверно GET-запросы проходят без дополнительного контроля? а POST-запросы проверяются на предмет CSRF?

Врятли баг. Скорее я что-то недоглядел. Плохо когда нет понимания картины целиком.

Да, GET все проходят. В опции Hostname нет «*». Значит, как я понимаю, сервер должен отвергать все кросс-запросы.

В конфиге включена опция:

PreventCSRF = yes|no
Prevent Cross-site Request Forgery by ignoring all cookies sent by a browser when following an external link to this website. This setting can cause problems for users who use tools to hide/remove the Referer HTTP header string while browsing. Please note that this protection is not 100% safe. 
Default = no, example: PreventCSRF = yes

особенно когда повторяешь два раза одно и то-же, то уж точно для пущей надежности ...

На самом деле CSRF это надуманный тупизм для тех, кто считает, что хорошо ориентируется в этих вопросах.

Мне кажется было бы гораздо полезнее для всех, разобраться что под CSRF здесь понимается.

Моя точка зрения такова: CSRF это банальная подмена запроса. Если сервер не проверяет откуда запрос - то решето.

Как сервер проверит? - кукисы, сертификат (https), IP (здравствуй кооперативный интернет и виртуальный пользователь), UA + Browser Env, referer (крайне ненадежно и легко подделать), шифрованные пакеты.

В итоге кроме сертификата, остальное весьма спорно.