CSRF保護：すべてのフォームのトークンを生成する必要がありますか？

Question

ウェブサイトのすべてのフォームに対して、トークンを生成する必要がありますか？つまり、リクエストされたフォームごとに異なるトークンを生成するたびにですか？そうでない場合、なぜですか？

Answer 1

は、それだけでone token per sessionを、持っているだけで十分いわゆるセッションごとのトークン：一般的に

、開発者のみ現在のセッションのために一度、このトークンを生成する必要があります。このトークンの最初の生成後、その値はセッションに格納され、セッションが終了するまで各後続の要求に使用されます。

あなたは、さらにセキュリティを強化したい場合は、各フォーム/ URLごとに1つのトークンを使用することができます（ごとの形式トークン）への影響を軽減する際に1つのトークンリーク（例えばXSS）など攻撃者は特定のフォーム/ URLだけを攻撃することができます。

しかし、要求ごとのトークンを使用して、、i。 e。

この提案されたデザインのセキュリティをさらに強化するために、各リクエストごとにCSRFトークン[...]をランダム化することを検討してください。このアプローチを実装すると、セッションごとのトークンではなく、要求ごとのトークンが生成されます。ただし、これはユーザビリティの懸念につながる可能性があることに注意してください。たとえば、「戻る」ボタンのブラウザ機能は、前のページにもはや有効ではないトークンが含まれる可能性があるため、しばしば妨げられます。この前のページとの対話は、サーバーでCSRFの偽陽性セキュリティイベントとなります。

したがって、セッションごとのトークンまたはフォームごとのトークンを使用することをお勧めします。

Answer 2

いいえ、あなたはgenerate a token on a per-session basisにする必要があります。

ユーザーが誤ってトークンを流出する可能性は非常に低く、フォームごとにトークンを生成すると、ユーザーが2つの異なるタブ/ウィンドウで同時にサイトを参照すると非常に複雑になります。一般的に