security - 当请求未通过跨站点伪造攻击验证时我应该返回哪个代码

Question

我通过引用字段过滤 HTTP 请求以防止跨站点伪造攻击。我知道这是一个坏主意，我已经使用了 ASP.NET MVC 内置的防伪机制，但是我们的客户有特殊的安全实用程序，它通过更改 HTTP 请求的引用字段来检查跨站点伪造攻击。

我的问题是当我收到不允许的域时我需要做什么？要返回什么 http 代码以及我应该向用户显示哪个页面？

应该是找不到像 404 这样的自定义页面还是只是重定向到主页？

什么是普遍做法？

Answer 1

“403 Forbidden”并提供一个 HTML 正文将用户引导到您的主页。

攻击者在 POST 期间看不到 CSRF 攻击的状态代码（由于同源策略），因此 HTTP 代码除了用于通知真实用户之外没有任何意义。