security - Kopal 连接中的安全问题

Question

有一个名为Kopal Connect的社交网络协议。这种方法有问题吗，朋友请求看起来像这样http://alice.example.net/profile/?kopal.connect=true&kopal.subject=friendship-request&kopal.identity=http://bob.example.org/profile/，据我所知，当您访问恶意网站时，可以使用嵌入图像或 iframe 请求您的姓名。

Answer 1

基于kopal 连接好友请求的示例文档。我会说这个请求可能容易受到Cross-Site Request Forgery 的攻击。然而影响很小，它更多的是让用户烦恼，因为 Alice 仍然需要批准友谊请求。为了执行这个 CSRF 攻击，你仍然需要friendship keyfor Alice 并且在这个过程中自动化这个步骤可能很困难。