每个请求的 csrfp_token 或每个会话的 csrfp_token？

Question

我正在尝试防止我的网站受到 CSRF 攻击。我尝试了市场上已经存在的多个库，最后找到了最好的一个https://github.com/mebjas/CSRF-Protector-PHP/。幸运的是，这已经解决了我的问题，但是当我使用 multitab 测试它时出现了一个转折，因为这是根据请求使用 csrfp_token 更改。

有什么建议可以帮助我找到每个会话的令牌和每个请求的令牌之间的安全级别差异吗？

如果每个请求的令牌是最安全的选择，那么如何使用 multitab 访问它？

Answer 1

CSRF 应该是每个请求。对于每个表单请求，都应该生成新的 csrf 令牌，并且应该在表单请求中发送相同的令牌。