为什么在 Web 应用程序中禁用 REFRESH 是个好主意（出于安全目的）
我们正在对我们的代码进行 XSRF 修复。我们使用会话令牌来请求令牌比较方法来实现这一点。如果会话令牌不等于请求令牌，我们将重定向到错误页面。
问题：进入主菜单页面后，如果用户“刷新”页面，则会引发 XSRF 问题。 原因：因为不会有任何请求令牌（当我们刷新页面时）。由于请求令牌为 NULL 并且不等于会话令牌，因此会引发 XSRF 错误。
该应用程序的用户对这种方法不太满意。那么有什么办法可以实现页面刷新呢？或者禁用页面刷新是绝对必要/重要的（为了安全）？
提前致谢。
we are doing XSRF fixes for our code. we are using the session token to request token comparison method to achieve this. in case when session token is not equal to request token we will be redirecting to error page.
Problem:Once we are in Main Menu page, if the user "refresh" the page, it is throwing XSRF issue.
Reason: As there wont be any request token(when we do a page refresh). since request token is NULL and it is not equal to session token it was throwing XSRF error.
The users of the application are not very happy with this approach. so is there any way to enable page refresh? or is it absolutely necessary/important to disable the page refresh(for security)?
Thanks in advance.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
我们在页面中使用刷新，我没有看到任何安全问题。请求令牌是 URL 的一部分。当页面刷新时，请求令牌仍然在 URL 中。
您如何发送请求令牌？
We use refresh in our page and I don't see any security issues. The request token is part of the URL. When the page is refreshed, the request token is still in the URL.
How are you sending the request token?