关于token新值覆盖旧值该怎么办呢

首页课程实战体系课手记专栏慕课教程

关于token新值覆盖旧值该怎么办呢

来源：4-5 CSRF防御-token

Elmer_

2017-09-24

写回答

2回答

qq_阿斯蒂芬_0

qq_阿斯蒂芬_0

2019-08-23

用数组解决，用户刷新一次页面，就在cookie中加入一个新的下标

用户提交只要token在这个数组里就准许提交

提交后销毁cookie就ok

还有cookie过期时间设置一下就ok

1

1

qq_阿斯蒂芬_0

还有就是cookie不能存数组加入的下标要转成字符串最后存进去

2019-08-23

共1条回复

TooooBug

TooooBug

2017-10-16

一般来说，可以考虑两种解决方案：

允许多个有效的token值，即只要是用户访问时发过的token，都算有效值
在提交前再请求token，也就是动态发token，而不是页面一加载就直接发

具体的实施方式都会涉及到代码层面的修改，有兴趣可以自己尝试一下。

0

0

腾讯大牛亲授 Web前后端漏洞分析与防御技巧

提高每一行代码安全系数，突破前后端开发Web安全弱项

1186 学习 · 112 问题

相似问题

为什么csrf.html页面可以获得comment页面的userid？

回答 1

token

回答 1

邮箱的点击劫持是怎么实现的？

回答 1

jsmp install报错，该怎么解决

回答 1

npm start报错，请问老师这个怎么处理?

回答 1

打开慕课网App查看更多内容