CSRF令牌無效，當用戶的會話超時

使用這個燒瓶例子在我的整個網站的形式CherryPy的應用中實施跨站請求僞造憑證...CSRF令牌無效，當用戶的會話超時

然而，當用戶的會話超時CSRF會話中的令牌變爲無。

token = cherrypy.session.get('csrf_token') 
if token is None or token != cherrypy.request.params['csrf_token']: 
    raise cherrypy.HTTPError(403)

我該如何解決這個問題？

在此先感謝！

由於您所描述的行爲是正確的，因此不需要解決此問題。如果csrf令牌持續很長時間，它並不是非常有用 - 整個想法是它不可重用，至少在很長一段時間內不會重用。

2012-10-31 23:14:17

感謝您的回答。我想知道如何在填寫註冊頁面時處理超時。他們似乎重定向回註冊頁面，並保留除密碼以外的所有用戶內容。這似乎是403錯誤更友好的替代方案，並且仍然安全 - 這聽起來是否正確？ –

是的，這是一個很好的解決方案 - 雖然有點多。 –

回答