是一個散列uuid4一個很好的csrf標記？

這是一個很好的csrf標記嗎？它是否有足夠的熵，或者是否有部分易於猜測，並且可以像請求時間那樣減少熵？是一個散列uuid4一個很好的csrf標記？

一個例子Python實現將b

token = hashlib.sha256(str(uuid.uuid4())).hexdigest()

2013-01-20 bigblind

UUID V4具有122個隨機比特（的可能的128），因此，是的，它應該是細作爲CSRF令牌。

（順便說一句，不散列這個一事無成？這不是真的這樣做太多其他的不是圍繞洗牌隨機位。）

2013-01-21 03:06:33 broofa

我不知道多少透露了通過暴露uuid4的系統，所以我散列以掩蓋任何可能泄露的細節。 – bigblind

然後不打擾散列。這6個非隨機比特是針對uuid變體和版本的，與rfc4122相同，並且對於所有v4 uuids都是一樣的;他們沒有透露任何關於你係統的信息。 – broofa

回答