CSRF koruması

[Kojiroh]

Şimdi CodeIgniter 2.0 üzerine çıkılmış bi CMS'i baya bi modife ederek bi site yapıyorum ve işin security kısmına geldim sayılır.

Aklıma gelen saldırı ihtimalleri şunlar:
- Sitedeki bazı yazılara kullanıcılar Twitter, Facebook ya da native hesaplarlıyla yorum yapabiliyolar, dolayısı ile XSS ve CSRF ihtimali mevcut
- Sitenin sağında solunda Twitter'dan veri çeken yerler var, request limiti sebebiyle bu verileri belirli aralıklarla refreshlenecek şekilde DB'de cache'liyorum. Araya girmem gerektiği için tüm bu tarz işler için ayrı controller ve/veya actionlar var ve bu da CSRF yolu ile flood yapılabilmesine imkan tanıyabilir (mi?)

CI 2.0 olduğu için CSRF koruması kendiliğinden var, form helper sayesinde XSS filtresi de var zaten. Fakat aklıma takılan şey, AJAX üzerinden gidip gelen verinin CSRF korumasını nasıl sağlayacağım konusu.

Diyelim ki klasik olarak view oluşturulurken CSRF token'ı bi hidden input'a bastım ve AJAX request'i gidecekken bu token'ı post parametrelerine ekledim. Session açık olduğu ve korunduğu için action'um session'daki CSRF tokenıyla POST'takini karşılaştırıldığında birbirini tutacaktır.

Peki başka bi adam benim sayfanın koduna bakıp, CSRF token'ı alıp, aynı browserda başka bi tab açıp, orda açtığı kendi formuna benim token'ı ekleyip, IP'yi, referrer'ı, bok püsür ne varsa her şeyi spoof edip formu post ederse nolacak? Böyle bi şey mümkün mü bilmiyorum da oldu diyelim sdf