シンクロナイザトークンパターンを使用しているときにCSRFトークンをクライアントに送信する方法は？

Question

シンクロナイザトークンパターンでは、サーバはランダムトークンを生成します。このトークンは、クライアントによる各フォーム提出によって提出する必要があります。クライアントは、サーバーで作成されたCSRFトークンをどのように知ることができますか？

Answer 1

GETリクエストでは、結果のページにトークンを置くことができます。フォームが送信されたときに自動的に送信される隠しフィールドとして、またはメタヘッダー（<meta name="csrftoken" content="...">）のような形式でフォームに書かれているか、他の方法でもかなり書かれています。

単純な古いフォーム投稿の場合は、おそらく隠しフィールドが最も簡単です。 javascriptが関与している場合（ajaxリクエスト）、JavaScriptヘッダーのように、ページ内の1つの中心的な場所で、javascriptを利用できるようになる方がよいでしょう。

フォームでも、新しいページのダウンロードごとに異なるトークンを生成できますが、トークンを変更するajax重いアプリケーションの場合、問題が発生します。ほとんどのアプリケーションでは、ログインセッションごとに1トークンが問題ありません。