为什么当存在 csrf 令牌时，aspnet 会阻止浏览器页面缓存？

Question

正如 here 所记录的，使用 asp.net 生成 csrf 令牌也会阻止响应被浏览器缓存。

为此请求生成一个 AntiforgeryTokenSet 并将 cookie 令牌存储在响应中。此操作还将“Cache-control”和“Pragma”标头设置为“no-cache”，将“X-Frame-Options”标头设置为“SAMEORIGIN”。

我最初认为做出此决定是为了防止用户使用浏览器的“返回”按钮提交“陈旧的”请求令牌。后来我注意到这可能不是原因，因为：

• asp.net 为整个会话保留相同的 cookie 令牌。
• asp.net 允许多次提交相同的请求令牌，只要 cookie 令牌不变。

那么，以我目前的理解，使用浏览器的后退按钮并提交一个缓存的html页面应该没有问题吧？

当浏览器页面包含 csrf 令牌时，禁用浏览器页面缓存的理由是​​什么？这是安全最佳做法吗？

编辑

正如@serpent5 正确指出的那样，标头Cache-Control: no-store 确保公共缓存不会缓存响应并将其提供给不同的用户。澄清一下，我更想知道启用浏览器缓存 (Cache-Control: private) 是否会对安全性产生负面影响。

Answer 1

您已经很好地描述了ASP.NET 中的防伪保护设置。
另外，我在下面附上了官方文档的部分内容。

要记住的主要事情是，会生成一组令牌，这些令牌会进入会话 cookie 和隐藏的表单标签，并且只有存在该确切组合才能通过安全检查。
当会话到期时，会生成新的令牌。

现在不允许私有缓存的原因与到期时间有关。

如果网页的缓存持续时间超过反 XSRF 会话的到期时间，用户最终会得到来自缓存的先前/旧令牌，因为该令牌正在被重用。 提交该网页时，服务器端安全检查将失败，以防启动新会话（直到页面缓存失效）。

由于反 XSRF cookie 是会话 cookie，它们会在关闭 Web 浏览器时被删除。在后续请求中，将启动新会话并生成新令牌。相应的仍然有效的缓存网页的存在将立即导致上述安全检查失败的情况。

---

来自XSRF/CSRF Prevention in ASP.NET MVC and Web Pages文档的一些引用

ASP.NET Web 堆栈运行时使用同步器令牌的变体 防御 XSRF 攻击的模式。的一般形式 同步器令牌模式是提交两个反 XSRF 令牌 使用每个 HTTP POST 到服务器（除了身份验证 token)：一个令牌作为 cookie，另一个作为表单值。

在初始生成令牌后的每会话令牌实现中， 该值存储在会话中，并用于每个后续 请求直到会话过期。

提交令牌后，服务器将允许请求 仅当两个令牌都通过比较检查时才继续。

如果在步骤 (1) 中生成了一个新的反 XSRF 令牌，则 一个新的会话 令牌 将被创建以包含它并将添加到出站 HTTP cookie 集合。步骤 (2) 中的字段令牌将被包装 在 <input type="hidden" /> 元素中。