CSRF令牌在源代码中可见

Question

我的跨网站请求伪造TOKEN是否应在我的网页源代码中可见我在生产中运行rails应用程序，并且可以看到跨站点请求伪造令牌。我想它不应该是可见的。

Answer 1

只要令牌在每个用户会话中足够随机且唯一，在页面代码中就可以看到它。 CSRF攻击假定恶意代码是从不同来源运行的，并且无法访问用户的页面。在OWASP Article中查看更多详情。