CSRF令牌在源代碼中可見

Question

我的跨網站請求僞造TOKEN是否應在我的網頁源代碼中可見我在生產中運行rails應用程序，並且可以看到跨站點請求僞造令牌。我想它不應該是可見的。

Answer 1

只要令牌在每個用戶會話中足夠隨機且唯一，在頁面代碼中就可以看到它。 CSRF攻擊假定惡意代碼是從不同來源運行的，並且無法訪問用戶的頁面。在OWASP Article中查看更多詳情。