Csrf 令牌仅在使用 ajax 首次提交时有效

Question

我想使用 jquery ajax 提交我的表单，没关系，但只是我第一次点击提交，这是我的代码。

    <!-- input code from the form -->
    <input type="hidden" name="<?php echo $this->security->get_csrf_token_name(); ?>" value="<?php echo $this->security->get_csrf_hash(); ?>" />

    <!-- js code -->
    $.ajax({
        url: ajaxurls.ask,
        type: 'POST',
        data: formData,
        contentType: false,       // The content type used when sending data to the server.
        cache: false,             // To unable request pages to be cached
        processData:false, 
        success: function (html) {
            var data = jQuery.parseJSON(html);
            if(data.status == 'ok') {
                $('.row_question_form').after(data.response.html);
                $('.question_' + data.response.question[0].question_id).hide().fadeIn();
                $('#question_form').val('');
                $('#thumbnails').empty();
                $('#ask_question_messages').empty();
                $('#ask_question_messages').html(data.message);
            }else if(data.status == 'error'){
                $('#ask_question_messages').empty();
                $('#ask_question_messages').html(data.message);
            }
        }
  });

您可能会说设置$config['csrf_regenerate'] = FALSE;，但在这种情况下，有人可以使用这样的应用程序在我的数据库中创建数百条记录：

http://i.imgur.com/qA4pqyr.png

Answer 1

每个 CSRF Token 只能提交一个 POST 是正确的，因为它们是一次性使用的。

如果您的意图是更改服务器端数据，POST 是正确的方法。

但如果你只是想从服务器读取数据，你应该使用 GET 方法。

这是nicely explained here。

---

如果您想禁用 CSRF 续订because it would not be necessary to generate a new token per request，您可以在 CI v3.0 中通过设置配置来实现：

$config['csrf_regenerate'] = FALSE;

---

另一方面，如果您更喜欢获取新令牌并刷新表单以进行新提交，read this howto。