我正在尝试集成一种方法来为我的应用程序中的每个表单添加一个哈希令牌。我想以此实现目标：
现在，我认为这样做的概念应该很简单：
到目前为止一切顺利，现在我真正陷入困境的是以下场景：
如果用户使用我的应用程序打开另一个选项卡会怎样。每次加载页面时，都会重新生成哈希值。从而使第一个选项卡中表单的哈希值无效。
【问题讨论】：
我会独立实现这些功能：
CSRF 预防
使用 CSRF 令牌来防止成功的 CSRF 攻击：为每个会话或每个 URL/表单生成一个 随机 令牌并将其存储在会话中。最初请求表单时，放置（关联的）CSRF 令牌并在稍后处理提交的表单数据时对其进行验证。
由于 CSRF 令牌是由服务器生成并存储在服务器上的，因此它不能被攻击站点伪造，并且仅对该会话有效。同样，验证也是微不足道的。唯一剩下的风险是攻击站点可以通过跨站点脚本获得已发行的 CSRF 令牌（但这会使 CSRF 在某种程度上过时）。
防止多次提交表单
使用一次有效的令牌来防止多次提交：为每个初始表单请求生成一个唯一令牌并将其放入表单中。在提交表单时，检查该令牌是否已被使用并记住它是使用过的。
要仅允许您的服务器发布的令牌，您可以使用某种message authentication algorithm。为了减少要记住的令牌数量，您可以让令牌在某个时间过期，这样您只需要记住特定时间范围内的令牌即可。
多个选项卡或表单请求没有问题：CSRF 令牌在整个会话期间或对于特定 URL/表单的任何表单提交都有效。而另一个令牌只对单个表单提交有效。
【讨论】：
不要将令牌存储为 cookie。
在每次页面展示时生成一个唯一令牌。在 POST 后，验证您是否向该用户颁发了令牌，并验证它之前没有被使用过。
首先，我们生成一个令牌，我们可以在其中验证我们是否为给定用户颁发了它：
token = hash(session_id + secret)
这样，使用他们的会话 ID 和我们的秘密，我们始终可以验证我们是否发布了该令牌，因为没有人知道秘密。
现在我们需要确保令牌只能使用一次。
rnd = rand()
token = rnd + hash(session_id + secret + rnd)
令牌现在有一个随机数。当 POST 发生时，我们可以将此随机数存储为“之前已使用过”，并拒绝任何重复使用相同随机数的令牌。
但我们不想永远存储使用过的令牌的随机数。所以我们限制了令牌的生命周期。
rnd = rand()
now = time()
token = rnd + time + hash(session_id + secret + rnd + time)
在 POST 上，当我们得到一个令牌时，我们现在检查我们是否“最近”发出了它。我们只需要为相同的时间跨度存储使用过的随机数。根据定义，所有旧令牌都是无效的。
您可以将使用的随机数与会话 ID 一起保护，并在您驱逐会话 ID 或它们变得无效时删除它们（以先发生者为准）。
【讨论】：