YII 프레임 작업에서 CSRF 토큰이 얼마나 자주 변경됩니까

Question

최근에 csrf 토큰에 대해 읽었습니다. 내 프로젝트를 개발하기 위해 YII 프레임 워크를 사용하고 있습니다. config/main.php에서 csrf 확인을 활성화했으며 yii가 숨겨진 양식 필드에 토큰을 넣습니다. 토큰이 유효한지 확인하십시오. 모든 것이 좋습니다. 그러나 나는 페이지를 새로 고치고 페이지의 모든 폼이 동일한 토큰을 사용할 때 CSRF 토큰의 값이 변하지 않는다는 것을 관찰했다.

나는이게 당혹 스러웠다. csrf 토큰이 변경되지 않으면 해커는 요청시 해당 토큰을 사용할 수 있으며 유효한 요청을 생성 할 수 있습니다. 그렇다면 csrf 토큰은 어떻게 보안을 제공 할 수 있습니까? YII 프레임 워크에 문제가 있습니까? 또는 나는 어떤 것을 놓쳤는가? 내가 뭔가를 놓쳤 으면 좋겠다. 수동으로 토큰을 생성해야하는 경우 (예 : YII 프레임 워크에서 바람직하게 YII 프레임 워크에서 생성 및 검증하는 방법을 알려주십시오)

Answer 1

세션 당 Csrf 토큰 생성을 구현하십시오. check

해커가 세션에 토큰을 어떻게 생성합니까?

요청 토큰 생성마다 절차가 있지만 yii에서 좋은 방법이 아닌 것 같습니다. problem with per request token generation