无需令牌或隐藏表单字段的CSRF保护
内容提要
几个月前，我为Microdot框架添加了CSRF保护，最初计划使用传统的反CSRF令牌，但发现基于Sec-Fetch-Site头的方法更简单有效。虽然旧浏览器兼容性存在问题，我选择使用Origin头作为备选方案。最终实现符合Microdot的简约理念，并期待OWASP将此方法推广为主流解决方案。
延伸解读
现代CSRF保护方法的优势
文章中提到的基于Sec-Fetch-Site头的CSRF保护方法，利用现代浏览器的特性，简化了传统的反CSRF令牌机制。这种方法不仅提高了安全性，还减少了开发者的实现复杂度，适合追求简约设计的框架，如Microdot。
兼容性问题的考虑
虽然Sec-Fetch-Site头在大多数现代浏览器中得到支持，但仍需关注旧浏览器的用户。文章提到的使用Origin头作为备选方案，虽然能提高兼容性，但也可能导致安全性降低，因此在实施时需谨慎权衡。
OWASP的角色与未来展望
OWASP的CSRF预防备忘单已更新以包含新的保护方法，但仍未将其视为完整解决方案。随着社区对这一方法的认可度提高，未来可能会成为主流，开发者应关注OWASP的进一步更新，以便及时调整安全策略。
Q&A
Microdot框架是如何实现CSRF保护的？
Microdot框架通过使用Sec-Fetch-Site头来实现CSRF保护，服务器可以根据该头的值拒绝跨站请求。
Sec-Fetch-Site头的作用是什么？
Sec-Fetch-Site头指示请求的来源，服务器可以根据其值判断请求是否来自同一来源，从而防止CSRF攻击。
为什么选择Sec-Fetch-Site头而不是传统的反CSRF令牌？
Sec-Fetch-Site头的方法更简单有效，且在现代浏览器中得到广泛支持，减少了实现复杂性。
Microdot如何处理子域请求的CSRF保护？
Microdot添加了allow_subdomains参数，默认情况下拒绝来自子域的请求，以增强安全性。
如果用户使用旧浏览器，Microdot会如何处理CSRF保护？
如果Sec-Fetch-Site头不可用，Microdot会使用Origin头作为备选方案来处理请求。
OWASP对CSRF保护的建议是什么？
OWASP建议使用反CSRF令牌作为最佳保护方法，但最近更新中也提到了Sec-Fetch-Site头作为防御机制。
