无JavaScript登录页面的CSRF防护及合规Cookie处理方案咨询

我正在搭建一个带密码锁定管理门户的站点，严格遵循渐进式增强原则——JS仅用于体验优化，核心功能无JS也能正常运行。此前登录表单的CSRF漏洞，已通过「隐藏表单令牌+预会话Cookie」的标准方案修复，其中预会话Cookie是用户提交Cookie授权同意的POST请求时设置的，全程未使用JS。

但目前发现Cookie授权的POST请求本身也存在CSRF漏洞，尽管危害远低于登录CSRF，但出于严谨性希望修复，避免该授权操作被伪造。此前尝试的两个方案均不理想：一是放弃无JS限制，用JS设置预会话Cookie（违背设计原则）；二是新增第二个授权确认页（体验差且无效，因需先有Cookie才能防护CSRF），现寻求其他可行方案。

可行解决方案 #

1. 校验HTTP Referer/Origin头 #

这是无依赖的极简方案：

• 对Cookie授权的POST请求，检查Referer头是否来自本站域名（可配置允许的域名列表，适配子域名场景）
• 优先校验Origin头，它比Referer更可靠，不会被部分隐私插件/浏览器设置移除
• 针对不发送Referer/Origin的极端情况，降级到极简二次确认页——无需设置Cookie，仅让用户再次点击确认按钮，此时请求的Referer必然为本站，可通过校验

2. 一次性表单哈希令牌（无Cookie依赖） #

渲染Cookie授权页时，服务器生成一次性令牌并嵌入表单隐藏字段：

• 服务器端将令牌与用户IP+用户代理信息绑定，设置短有效期（如5分钟）
• 用户提交表单时，服务器对比表单令牌与存储的令牌，同时校验IP/用户代理（辅助验证，降低令牌泄露风险）
• 令牌一经使用立即失效，避免重复提交
• 全程无需Cookie，完全依赖服务器端存储，符合无JS要求

3. 简化版双重提交校验 #

在Cookie授权表单中添加两个隐藏字段：

• 一个存储随机生成的明文令牌，另一个存储该令牌的SHA-256哈希值
• 服务器接收请求后，自行计算明文令牌的哈希值，与表单提交的哈希值比对，一致则通过校验
• 该方案无需服务器存储任何数据，也不依赖Cookie，纯客户端+服务器端哈希校验即可，CSRF攻击者无法获取表单令牌内容，无法伪造有效请求

方案对比 #

内容的提问来源于stack exchange，提问作者KarlLightning