0

Сделал у себя так, что при каждом обновлении страницы - генерируется в сессию новый csrf токен. Но вот что заметил, если пользователь сидит на одной странице - к примеру редактирования своих данных, и открывает другую вкладку с сайтом - то ему дается новый токен, то есть на старой странице - он больше запросы слать не сможет, так как токен уже будет другой.

Как это решается? Или я неправильно реализовал систему проверки токена?

1 ответ 1

1

Мои варианты:

  1. Храните в сессии не один токен, а массив. С адресами страниц (для http и https токены должны быть разные) на которых каждый токен используется и метками времени. Токены из массива удаляйте по мере их использования или истечения времени жизни.

  2. Храните в сессии ключ. Для каждой страницы генерируйте токен на основании этого ключа, адреса страницы и ip-адреса пользователя. Можно дополнительно использовать метку времени для определения времени жизни токена (при длинной сессии). Тогда итоговый токен будет состоять из хэша и метки времени.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.