AEM CSRF認証/保護フレームワークはステートレスですか？

Question

これらのCSRF生成トークンはどこにありますか？JCRリポジトリまたはアプリケーションヒープ内のオブジェクトはどこに保存されていますか？また、受信したトークンを非常に高いレベルでどのように検証するのですか？

「はい」の場合、これはスケーラビリティの問題ではありませんか？

私はこれらのリンクをたどることを試みた：https://tools.ietf.org/html/draft-ietf-oauth-json-web-token-16#section-7 & https://tools.ietf.org/html/draft-ietf-jose-json-web-signature-41#appendix-A.4.2と、彼らは鍵ペアおよび署名を構築するために、ユーザー、ユーザーエージェントや他の情報と一緒に、公開鍵と秘密鍵のようなものを使用してのように思えるし、それを検証しますトークンがある意味で解読されるが、それを別の格納されたトークンと正確に照合することはない。しかし確かではないので、疑問です。

Answer 1

短い回答：はい AEM CSRF認証/保護フレームワークはです。ステートレスです。

詳細

トークンが永続化されておらず、すべての情報がSymmetric Algorithmを使用して暗号化されたトークンです。すべてのインスタンスが同じ暗号鍵を共有している限り、どのインスタンスもクラスタ内で発行されたCSRFトークンを復号化および復号化できます。これに関する詳細は、公式CSRF documentationに記載されています。