csrf token存在Session里还能起到作用吗？

来源：2-7 csrf, logout 和 rememberMe 的设置

洛奇2019

2024-03-19

不明白csrf token的Session存储策略是具体怎么个实现的，不返回给客户端，怎么起到防攻击的作用？

另外，前后端分离的架构，为什么就是无状态的？服务端不用创建Session了吗？

写回答

1回答

接灰的电子产品

2024-03-21

CSRF Token本身通常不会直接存储在客户端的Session中，而是存储在服务端，并通过某种方式（如隐藏字段或HTTP头）传递给客户端。这样，即使攻击者能够伪造请求，他们也无法获取到有效的CSRF Token，因此无法通过验证。

前后端分离的架构是指将前端（客户端）和后端（服务器端）进行逻辑上的分离，前端负责与用户交互和展示数据，后端负责处理业务逻辑和数据存储。这种架构的一个关键特性是“无状态性”。

无状态性意味着服务器不会为每个客户端请求保存任何会话信息。换句话说，服务器不会为每个用户创建一个持久的会话状态，而是根据每个请求中的信息（如请求头、参数等）来处理请求。

Spring Security+OAuth2 精讲，打造企业级认证与授权

一站式掌握主流安全框架与行业解决方案，从容应对各种安全难题。

1042 学习 · 316 问题

相似问题

回答 1

回答 1

回答 1

回答 1

回答 1