Tornado 的 XSRF 保护是否在循环环境中工作？

Question

我打算在我的网络应用程序中使用Tornado's XSRF protection。但我想知道：如果我需要扩展以拥有一个服务器集群，它是否仍然可以工作 - 或者如果前面的请求已经发送到不同的服务器，请求是否会失败？

Answer 1

XSRF 令牌在服务器上没有任何状态：它is not checked 针对任何已知或存储的值，除了请求中令牌的两个实例：

1. _xsrf cookie
2. 以下任何一项：
   • X-Xsrftoken 标头
   • X-Csrftoken 标头
   • _xsrf 参数（例如，?_xsrf=... 用于 GET 请求）

因此，请求是否由 Web 服务器的同一实例提供服务并不重要。其他 Web 服务器可能也是如此。