CSRF: Генерировать токен для каждого запроса

Question

Прямо сейчас у нас есть токен csrf за сеанс. И добавив этот токен jsp, используя скрытое поле. Следующий фрагмент кода дает только одну за сессию:

token = (String) session.getAttribute(CSRF_TOKEN_FOR_SESSION_NAME); 
    if (null==token) { 
     token = UUID.randomUUID().toString(); 
     session.setAttribute(CSRF_TOKEN_FOR_SESSION_NAME, token); 
    } 

и для каждого запроса,

//calls the above snippet and this time token will not be null 
String st = CSRFTokenManager.getTokenForSession(request.getSession()); 
String rt = CSRFTokenManager.getTokenFromRequest(request); 

здесь, usings приравнивает сравнить строки и возвращения истинным или ложным.

мой вопрос: что произойдет, если я попытаюсь сгенерировать токен для каждого запроса без получения маркера из сеанса. И, сравнивая, я получу от сеанса и запроса. это хорошая идея или что-то не хватает?

Вместо того, чтобы использовать вышеупомянутые отрывки, я пойду со следующими

//for every request generate a new and set in session 
    token = UUID.randomUUID().toString(); 
    session.setAttribute(CSRF_TOKEN_FOR_SESSION_NAME, token); 

    //get the token from session and request and compare 
    String st = (String) request.getSession().getAttribute("CSRF_TOKEN_FOR_SESSION_NAME"); 
    String rt = CSRFTokenManager.getTokenFromRequest(request); 

Answer 1

Вы хотите, чтобы перевернуть вокруг потока, который вы указаны выше. После каждого сравнения вы должны создать новый токен.

Один большой недостаток лексем-за запрос, если пользователь нажимает кнопку в браузере:

• посещение пользователя Page1 и магазины TokenA в сессии.
• Пользователь щелкает ссылку на страницу2, отправив TokenA. Приложение проверяет TokenA в сеансе и дает пользователю TokenB.
• Пользователь обращается к кнопке «Назад», чтобы вернуться к странице 1, информация о сеансе не обновляется.
• Page1 до сих пор имеет только информацию для TokenA, пользователь нажимает на ссылку или отправляет форму на Страница3 направляющее TokenA, но сессия только знает о TokenB
• App считает это CSRF нападение

Из-за этого, вам нужно внимательно следить за тем, как и когда токены обновляются.

Answer 2

Помимо решения, предложенного Джеем, я предлагаю вам избежать кэширования ваших веб-страниц, установив различные заголовки управления кешем в ответ на клиент.