什么是安全令牌，为什么在表单中使用它？

Question

我在许多论坛和其他网站上看到他们在 POST 或 GET 方法中使用安全令牌（长字符串）。例如（POST方法）：

<input
    type="hidden"
    name="securitytoken"
    value="1363774829-89afb5d0fbcd2f8d55db0b675061d62bd21ca94e"
/>

GET 方法示例：

http://www.example.com?attribute=xyz&token=f0ec0e8e1622a030cbc543d3ac42729e

这个安全令牌是什么？为什么使用它？它提供什么类型的安全性？应该在哪里使用？

Answer 1

它可能是防止“CSRF”（跨站点请求伪造）的令牌。

例如，

• 您已登录论坛
• 你去 evilhacker.com
• evilhacker 有一个自动提交表单，可以向论坛发送垃圾邮件
• 因为您已登录，所以您（以您的名义）发布了垃圾邮件。

但是因为论坛需要一些与您的会话相关联的令牌（因此 evilhacker 无法根据自己的形式猜测它），该帖子被拒绝并且您没有发布垃圾邮件。

如果你想看一些细节，请阅读这篇论文