주소창에 직접 url을 치거나, curl을 이용하여 직접 컨트롤러에 접근을 시도하는 유저가 있습니다.

한번은 3~40초동안 데이터를 몇십번 넣더군요...ㅠ

-컨트롤러에 insert를 동적하는 함수에 접근한듯합니다 (ex http://test.com/controller/addData)

그 유저가 정확하게 어떤식으로 접근을 한지는 모르겠으나

의심되는 부분은 역시 curl로 post값을 보낸거 같습니당...

검색해보니.. 

리퍼러체크, 포스트체크, 포스트빈값체크등을 하라고 합니다,, 하지만 완벽한게 아니랍니다

리퍼러등등 변조도 가능하기때문이라네요..

그래서csrf로 될까 했지만, url(컨트롤러)로 직접 주소창을 치면 접근은 되버리고,,

curl로 접근했을 경우는 모르겠네요..

컨피그에서 csrf를 true기능이

submit시에만 csrf-token을 컨트롤러로 보내서 자동으로 체크하는 방식인가요?

그래서 주소창에  직접url을 넣어서 접근 가능한거지...

질문정리를 하자면,,

1.주소창이나 curl을 이용해서 컨트롤러/함수에 접근할때 막을 방법은

post체크,post값체크,리퍼러 체크외에... 더 좋은 방법은 없을까요?경험이 미천하여 한계입니다 ㅠ

2.위에 말한 코드이그나이터 csrf기능은 submit시만 토큰생성 / 컨트롤러에서 토큰체크 방식이 맞는건지요??

(기본적인 크로스사이트요청 위조에 대한 개념을 알고있습니당, 해)

3. csrf기능이 true면 ajax통신도 그냥은 안되던데,, "submit시만"이라는 가정이 틀린걸까요?

4.curl을 이용하여 이런 접근들이 가능하다면,

사이트들의 게시판 도배나 결제진행후 데이터를갱신(유료사용자, 포인트, 기간연장)할때

큰 문제가 될꺼같은데 어떻게 방어를 하는지...

경험이 부족해서 이렇게조언을 얻고자 문의를 남깁니다

잘부탁드립니다!