csrf 的随机 csrf token 默认是保存在 session 中， 如果改为分布式环境下， 只能将这一值保存在 redis 中吗？还有别的办法吗？
xiaoyanbot · 2021-10-12 18:55:25 +08:00 · 2198 次点击这是一个创建于 1117 天前的主题，其中的信息可能已经有所发展或是发生改变。
 |
1
Peter2Zhu 2021-10-12 19:09:59 +08:00
加密存在表单里
|
 |
2
Xusually 2021-10-12 19:15:06 +08:00
这个看你的 token 生成和验证方式
如果是普通的随机生成的，那么在分布式环境中只能存在 redis 、memcache 等大家都可以读写验证的地方。 如果是有算法的，比如服务端有 key 的可逆加密的，可以解出来有效信息，并且有效信息比如过期时间，用户 id 什么可供单点验证的，那倒也可以不存？ 楼主你的顾虑是？ |
 |
3
ragnaroks 2021-10-12 19:48:44 +08:00
有别的办法，但存在 memcache/redis 这里就是低成本最优解决办法了
|
 |
4
GTim 2021-10-12 20:11:37 +08:00
使用 sha256 等算法，把密钥写死在代码里，然后生成 token = `sha256(密钥+时间戳)`， 下发下去给客户端的 csrf_token 值为 `token . 时间戳`，也就是把时间戳带下去给客户端。
|
 |
5
chendy 2021-10-12 22:56:20 +08:00
用分布式的 session 不用单机 session （ java 这边可以 spring-session ）就完事了。。。
|
 |
6
phithon 2021-10-13 07:59:07 +08:00
csrf 的 token 可以保存在 cookie 里。可以看下这篇文章：<https://www.leavesongs.com/PENETRATION/think-about-cookie-form-csrf-protected.html>
|
 |
7
clcx 2021-10-13 10:14:33 +08:00 via iPhone
JWT
|
 |
8
lululau 2021-10-13 12:26:15 +08:00
1. 和 Rails 一样，直接把 session 加密放到 Cookie 里
2. 单把 CSRF Token 放到 Cookie 里 |
 |
9
xiaoyanbot OP |
Select Language