在同一台机器上的两个选项卡中打开同一页面时的 CSRF 令牌值？

Question

据我了解，当在服务器端启用 CSRF 时，服务器会创建一个令牌（比如 token1）并将其注入form 并将其保存在客户端浏览器的 cookie 中。 当客户端向服务器发送form 请求时，它会从浏览器cookie 中发送csrf 令牌（token1），并发送与form 中相同的令牌。服务器通过检查cookie中的token和form中的token是否匹配来验证请求，然后处理请求。

现在，如果我在另一个选项卡中打开相同的 form，服务器是否会生成另一个令牌 (token2) 并将其注入 form 和 cookie。然后，在 cookie 中，token1 将被 token2 覆盖。那么在第一个选项卡中提交表单在这种情况下不起作用吗？但根据经验，我看到在标签 1 中提交form 仍然成功。

那么有人可以解释一下它是如何在上述情况下取得成功的吗？

Answer 1

既然你已经添加了 Spring Security 标签，我将描述 Spring Security 如何使用 Synchronizer Token Pattern 来防止 CSRF 攻击。

服务器创建一个令牌（比如 token1）并将其注入表单并将其保存在客户端浏览器的 cookie 中。

实际情况并非如此。服务器将创建一个 CSRF 令牌 (token1) 并将该令牌存储在 HttpSession 中。 CSRF 令牌 (token1) 也嵌入在客户端的表单中。客户端还会获得一个存储在 cookie 中的 Session ID (session-id1)。

当客户端提交表单时，它会发送 token1 和 session-id1。然后，服务器将使用 session-id1 查找 HttpSession 并获取该会话的预期 CSRF 令牌。它将预期的 CSRF 令牌与令牌 1 进行比较，如果值不匹配，则 HTTP 请求将被拒绝。

如果您在另一个选项卡中打开相同的表单，浏览器仍然可以访问会话 ID (session-id1)。该表单将获得与 session-id1 关联的相同令牌 (token1)。

最后，只有一个 CSRF 令牌 (token1) 在两个选项卡中使用。

您可以在Spring Security reference documentation 中找到有关防止 CSRF 攻击的更多信息。