公共Newsletter注册表单通过Zap反CSRF令牌缺失测试的正确方法

1. 面向公众的此类表单是否需要CSRF令牌？ #

不需要。CSRF攻击的核心是利用已登录用户的身份权限执行未授权操作，但这类公开的Newsletter注册表单无需用户登录，提交操作仅涉及新增一条邮箱订阅记录，不会修改用户已有的敏感数据或执行高风险操作，不存在CSRF攻击的前提条件，因此无需额外实现CSRF令牌防护。

2. 无需实现时如何通过Zap渗透测试？ #

可以通过以下几种方式处理：

• 添加假令牌字段：在表单中加入一个无实际验证逻辑的CSRF令牌隐藏字段，Zap检测到字段存在就会停止告警。示例代码：

  <input type="hidden" name="csrf_token" value="placeholder">
  

• 标记误报：在Zap工具中找到该条CSRF告警，将其标记为误报，并添加自定义规则，忽略对#newsletterForm这个表单的CSRF检查。
• 启用Angular内置CSRF机制：Angular默认支持CSRF防护，会自动从Cookie中读取XSRF-TOKEN并在POST请求头中携带X-XSRF-TOKEN。确认你的项目已启用该机制（通常只需后端设置对应的Cookie），Zap会识别到请求头中的令牌，从而通过测试。

内容的提问来源于stack exchange，提问作者Jason Andersen