Devrais-je utiliser la validation de référence HTTP ou la vérification de jeton pour empêcher les attaques de la CSRF?

Comme indiqué par les autres réponses, l'utilisation de chèques de référents n'est pas suffisante et que vous devriez vraiment utiliser des jetons anti-falsification.

Toutefois, comme @jeffsix a souligné, vous pouvez utiliser des contrôles de référence comme une stratégie de défense en profondeur (DID). Un attaquant devrait donc vaincre plusieurs défenses de défense pour exécuter une attaque réussie. P >

L'attribut ValidAereFerrerRerattribute ci-dessous peut être utilisé sur vos actions HTTPPOST MVC. Si le référent est null, cela ne fait rien. Si le référent n'est pas nul, il vérifie qu'il est égal au nom d'hôte spécifié. Il vous suffit de l'ajouter où que vous utilisiez déjà le validateantantIforgeryTokenattribute, il serait donc très facile d'ajouter. P>

/// <summary>
/// For POST requests, checks that the requests referrer is the current site. This could be used along side the ValidateAntiForgeryToken
/// Note that many clients do not send the referrer, so we do nothing in this case.
/// This attribute can be used as part of a Defence-in-Depth (DID) strategy, so an
/// attacker would need to defeat multiple, independent, defenses to execute a successful attack.
/// </summary>
[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class, Inherited = true, AllowMultiple = false)]
public class ValidateReferrerAttribute : FilterAttribute, IAuthorizationFilter
{
    /// <summary>
    /// Called when authorization is required.
    /// </summary>
    /// <param name="filterContext">The filter context.</param>
    /// <exception cref="System.ArgumentNullException">filterContext</exception>
    public void OnAuthorization(AuthorizationContext filterContext)
    {
        if (filterContext == null)
        {
            throw new ArgumentNullException("filterContext");
        }

        if ((filterContext.HttpContext.Request.UrlReferrer != null) &&
            string.Equals(filterContext.HttpContext.Request.HttpMethod, "POST", StringComparison.OrdinalIgnoreCase) &&
            !string.Equals(filterContext.HttpContext.Request.UrlReferrer.Host, filterContext.HttpContext.Request.Url.Host, StringComparison.OrdinalIgnoreCase))
        {
            this.HandleExternalPostRequest(filterContext);
        }
    }

    /// <summary>
    /// Handles post requests that are made from an external source. 
    /// By default a 403 Forbidden response is returned.
    /// </summary>
    /// <param name="filterContext">The filter context.</param>
    /// <exception cref="System.Web.HttpException">Request not allowed.</exception>
    protected virtual void HandleExternalPostRequest(AuthorizationContext filterContext)
    {
        throw new HttpException((int)HttpStatusCode.Forbidden, "Request not allowed.");
    }
}