CSRF - 同一浏览器的多个应用程序实例

Question

打开浏览器，输入admin的网址，登录成功，进入公告内页，新增公告。打开一个记事本编写杂项 html 页面，其中包含表单操作和隐藏字段，以删除添加的公告和隐藏的 CSRF 令牌，我可以从已经打开的浏览器选项卡中知道。接下来在同一个浏览器中打开新选项卡并使用提交打开杂项 html 页面，这删除了添加的公告，因为 CSRF 令牌匹配。如何防止这种情况？我使用 PHP 5 完成了这项工作。

Answer 1

您不需要阻止这种情况 - 攻击者将无法从当前用户的会话中读取 CSRF 令牌 - CSRF 令牌应该绑定到每个用户会话。 CSRF 令牌应该不能用于生成它的会话之外的会话中。

任何不这样做的实现都是有缺陷的。