ZAP检测URL含CSRF令牌告警的原因及修复方案咨询

CSRF令牌（anticsrf）出现在URL查询字符串里属于高风险行为，原因如下：

• GET请求的URL参数会被浏览器历史、服务器日志、跳转时的Referer头等多处留存，极易被第三方获取，导致CSRF令牌泄露，攻击者可利用泄露的令牌绕过CSRF防护机制。
• 按安全规范，CSRF令牌应通过**请求体（POST参数）**传输，而非URL，这样能从根源避免令牌被无意泄露的风险。ZAP的检测规则正是基于这个规范，只要发现CSRF令牌出现在URL参数中就会触发告警。

• 强制表单使用POST方法提交：检查表单的method属性，确保设置为post而非get。示例代码：

  <form action="/your-submit-path" method="post">
    <input type="hidden" name="anticsrf" value="your-token-value">
    <!-- 其他表单字段 -->
  </form>
  

• 调整后端逻辑：确保处理表单提交的接口仅接受POST请求，拒绝GET请求携带CSRF令牌的场景。
• 排查Nginx配置：确认不存在将POST请求重写或转发为GET请求的规则，避免请求方法被意外转换。
• 验证提交逻辑：测试表单提交流程，确认网络请求中的CSRF令牌仅出现在请求体中，而非URL查询字符串内。

内容的提问来源于stack exchange，提问作者supritha