无框架部分无状态Web应用中Ajax请求双重提交Cookie方案是否有效？

你的实现方案 #

PHP - 处理每个请求设置Cookie #

setcookie(
    "meow_csrf",
    $value = "some_securly_generated_random_string",
    0,
    "/",
    "mydomain.com",
    true,
    false
);

JavaScript - Ajax请求 #

// JS
$.ajax({
    type: "POST",
    url: '/ajax.php?action=update_user_details&meow_csrf=' + $.cookie('meow_csrf'),
    error: function() {
        // blabla
    },
    success: function(data){
        // blabla
    }
});

PHP - 服务端校验 #

function tokenCheck(): bool 
{
    return $_COOKIE["meow_csrf"] === urldecode($_GET["meow_csrf"]);
}

方案有效性与误区分析 #

具备基础CSRF防护能力 #

你的方案核心符合双重提交Cookie模式的逻辑：攻击者发起跨站请求时，浏览器会自动携带目标域名的Cookie，但受同源策略限制，攻击者无法读取该Cookie的值，因此无法在请求参数中附上正确的CSRF token。服务端通过对比Cookie中的token和请求参数中的token，就能验证请求是否来自合法前端页面，所以已经具备基础的CSRF防护能力。

存在的误区与风险点 #

1. Cookie未设置SameSite属性
   虽然主流浏览器默认会为Cookie添加SameSite=Lax，但显式设置SameSite=Strict或Lax能进一步缩小攻击面，避免Cookie在第三方上下文（如跨站iframe、第三方链接跳转）中被自动发送，强化防护效果。

2. Token生成逻辑存在隐患
   示例中的"some_securly_generated_random_string"如果是固定值，完全失去防护作用。实际实现中必须为每个用户生成唯一、高熵的随机字符串（比如用PHP的random_bytes(32)生成32字节随机值，再转成Base64编码），且该token应与用户会话绑定，避免被复用。

3. 服务端校验逻辑不够健壮

   • 未检查$_COOKIE["meow_csrf"]和$_GET["meow_csrf"]是否存在，直接访问会触发Undefined index错误；
   • 无需使用urldecode，PHP会自动解码GET参数，重复解码可能导致字符处理异常；
   • 建议使用hash_equals()替代===进行比较，避免潜在的时序攻击风险（尤其是当token长度较长时）。

4. Token传递方式不够规范
   你使用POST请求，但将token放在URL的GET参数中，虽然功能正常，但可能导致token被记录在服务器日志中。更规范的做法是将token放在POST请求体中。

正确的设计点 #

你没有设置Cookie的HTTPOnly属性，这是正确的——因为双重提交Cookie模式需要前端JavaScript读取Cookie值并放入请求参数，设置HTTPOnly会导致JS无法访问Cookie，从而破坏整个防护逻辑。

优化建议 #

• 为每个用户生成唯一的高熵CSRF token，绑定到用户会话；
• 在setcookie中添加SameSite参数（PHP 7.3+支持），例如setcookie(..., true, false, 'Strict')；
• 完善服务端校验逻辑：

  function tokenCheck(): bool 
  {
      if (!isset($_COOKIE["meow_csrf"]) || !isset($_GET["meow_csrf"])) {
          return false;
      }
      return hash_equals($_COOKIE["meow_csrf"], $_GET["meow_csrf"]);
  }
  

• 调整Ajax请求，将token放入POST请求体：

  $.ajax({
      type: "POST",
      url: '/ajax.php?action=update_user_details',
      data: { meow_csrf: $.cookie('meow_csrf') },
      error: function() {
          // blabla
      },
      success: function(data){
          // blabla
      }
  });
  

内容的提问来源于stack exchange，提问作者Blackbam