每个请求是csrfp_token还是每个会话是csrfp_token？

Question

我正试图阻止我的网站遭受CSRF攻击。我尝试了市场上已经存在的多个库，最后找到了最好的https://github.com/mebjas/CSRF-Protector-PHP/。幸运的是，这已经解决了我的问题，但是当我使用multitab测试此方法时出现了一些问题，因为这是每个请求使用csrfp_token更改。

有什么建议可以帮助我找到每个会话令牌和每个请求令牌之间的安全级别差异吗？

如果每个请求的令牌是最安全的选择，那么如何使用multitab访问它？

Answer 1

CSRF应该根据请求。对于每个表单请求，应生成一个新的csrf令牌，并且应在表单请求中发送该令牌。