認証時にCSRFの再生/無効化を停止する

Question

私のページには現在、ユーザーがログインしているかどうかにかかわらずフォームがあります。ユーザーがログインすると、これらのフォーム（CSRFを使用する）のいずれかが提示されます。

認証後にこのボックスが表示されると、CSRFトークンが無効になるという問題があります。

CSRFトークンが無効である：私は、ログインした後、それはのエラーで私にfalseを与えるのに対し、自身が認証チェックと$form->isValid()戻りtrueせずにフォームを送信できるようにすることで、これを確認しています。フォームを再送信してください。

私は3つの解決策があると思います - （私はむしろしかし、これを避けるためと思います）、認証にCSRFトークンを無効/再生からsymfonyのを止めるこれらのフォームからCSRFトークンを削除するか、認証後に私のフォームを生成します。私の現在の解決策は、新しいCSRFトークンを認証およびフォームトークンinputの値とともに戻すことです。

追加：現在割り当てられているすべてのCSRFトークンの表示方法を知っている人はいますか？セッションはそれらを保持していないようです。

Answer 1

私はthis CWEを指し示すために@MarkFoxに感謝します - 私はそれがデザインを通してあることを知っていましたが、私が終わったルートを避ける方法があることを望んでいました。

は、ユーザーの認証、あるいは既存のセッション識別子を無効にすることなく、新しいユーザーセッションを確立し、攻撃者に認証されたセッションを盗むために機会を与える：

は興味がある人のために、CWEは述べています。

このような理由から、新しいrequest tokens via AJAXを送信し、関連するフォームに配置することをおすすめします。

Answer 2

一般的に、誰かが正常にログインすると、潜在的に異なるデータが表示され、ユーザーにカスタマイズされるため、ページ全体が最新表示されます。

しかし、あなたが本当にそれを行うにはしたくない場合は、あなたが言った：

私の現在のソリューションは、トークンバック認証で新しいCSRFを渡し、設定フォームは、入力値をトークンにあります。

これだけです。それには何も問題はありません。