По какому принципу работает CSRF Token защита и чем она отличается от Api Token?
Во-первых, наверное все-таки CSRF Token.
Во-вторых, CSRF токен никуда руками вводить не надо, его обычно прицепляют в качестве доп. скрытого поля при отправке форм. Смысл в том, чтобы злоумышленник не мог дать ссыль или сделать на своем сайте форму, переход по которой заставил бы залогиненного на атакуемом ресурсе пользователя сделать какие-то неявные действия (сменить пароль, емаил, написать сообщения, перевести средства и т.п.).
Ну таки посмотрите хоть какую-то реализацию, сразу понятно станет.CSRFа) заставить бабушку Нину вводить 64 значный буквенно цифровой токен - это продажи сразу в ноль
шта?Но создание токена для пользователя при отправке форм? Каким образом это защитит от CFRF я не понимаю
Один из вариантов: бот не сможет делать действия(post/put/и т.п.) на сайте бесконечно ака заспамить.
Чтоб отправить следующую форму ему нужен каждый раз новый токен(он постоянно меняется, не обязательно каждый запрос, но меняется все равно).
В форму встраивается как hidden.
В ajax добавляется header с токеном(токен при загрузке страницы прописан в коде).
Никакие бабушки ничего не вводят.