보안 토큰 문제는 응용 프로그램을 구축 할 때

Question

내가 양식에 대한 공격을 방지하기 위해 토큰을 사용 요청

나는 등의 형태로 포함 한 형태는 새로운 ONE TIME 보안 토큰을 얻는다 렌더링 될 때마다 숨겨진 필드. 이 토큰은 세션에도 저장됩니다.

양식이 전송 될 때 토큰이 세션의 토큰과 비교되어 양식이 합법적인지 확인합니다. 이것은 표준 페이지에 잘 작동합니다.

문제 형태를 보내 Ajax를 사용할 때 이러한 양식 중 하나를 전송하면, 한 페이지에 여러있을 수 있습니다, 토큰이 그와 다른 한 시간 토큰에 대한 다음 유효하지 않습니다.

누구 에게라도 조언이 필요합니까? 또는 세션 당 하나의 토큰을 생성하고 폼이 전송 될 때마다 토큰을 무효화하는 대신이를 사용하기에 충분히 안전합니까?

Answer 1

현재 접근 방법을 따르고 싶다면 AJAX 요청을 할 때마다 보안 토큰을 생성하고 AJAX 응답으로 반환하고 숨겨진 경우 가져올 때 보안 토큰을 주입 할 수 있습니다. 그러나 보안 토큰에 대한 현재 접근법을 다시 생각해 보겠습니다. Here 당신은 OSWAP 위키에서 그것에 관한 몇 가지 팁을 가지고 있습니다.