在身份验证时停止重新生成/使CSRF无效

Question

目前，我的页面上有表单，无论用户是否登录，表单都存在。用户登录后，会向他们显示其中一个表单（使用CSRF）。

问题是，如果在身份验证之后出现此框，则CSRF令牌将无效。我已经确认了这一点，允许我自己提交表格，而无需验证检查和$form-

CSRF令牌无效。请尝试重新提交表格。

我想有三种解决方案-阻止Symfony在身份验证时重新生成/使CSRF令牌无效，从这些表单中删除CSRF令牌，或者在身份验证后生成我的表单（但是，我宁愿避免这种情况）。我当前的解决方案是将一个新的CSRF令牌和身份验证一起传递回去，并设置forms令牌输入值。

附加：有人知道如何查看当前分配的所有CSRF令牌吗？会议似乎没有举行。




Answer 1

感谢@MarkFox为我指出了这条CWE——尽管我知道这是通过设计实现的，但我希望有一种方法可以让我避免走我最终走的路。

对于任何感兴趣的人，CWE声明：

在不使任何现有会话标识符失效的情况下，对用户进行身份验证或以其他方式建立新的用户会话，使攻击者有机会窃取经过身份验证的会话。

因此，我建议您沿着我最终走的路，通过AJAX发送新的请求令牌，并将其放入相关表单中。

Answer 2

通常的方法是，当有人成功登录时，整个页面都会刷新，因为可能会显示不同的数据，这些数据是用户自定义的。

但是如果你真的不想这么做，你会说：

我当前的解决方案是通过身份验证传递一个新的CSRF令牌，并设置表单令牌输入值。

就这么做吧。这没什么错。