页面几乎都是Ajax操作，如何更新CSRF Token

[liubin]

用的是CodeIgniter，不过这个问题应该跟CI无关 :-P

页面几乎不刷新，更新的内容很多，几乎没有Form元素。。。

如果启用CSRF Token的话，需要在Ajax处理中同时传递Token信息。

页面render时写个Token到页面倒还好说，如果一个Ajax请求提交后，

后续的Ajax请求怎么办？

现在的想法是：

每个Ajax请求返回结果都同时给一个新的Token回来，保存到页面上。

我的问题是感觉这样可能的工作量比较大，还有更好的方法么？

[hanhui]

可以去看看微博、QQ、其他开源软件怎么做。
据我了解，Discuz、腾讯微博都是没有每次请求更换token的，而是每个登录session初始化一个token。腾讯微博的算法稍微复杂点，从cookie传过来，然会js解密换算后，通过url传递回去的；discuz通过forum filed提交。其实微博貌似都没用csrf token，简单看了下。

个人感觉通过session就够了。没有绝对的安全。

[luikore]

不用更新, 用页面上那个就可以了. csrf token 只有一种目的: 防止跨站提交.
如果别人能截取到你提交的 token, 那他也能截取每次的返回结果, 已经是超出 csrf 的范围的问题了, 更新了也没用.

[luikore]

@hanhui 那个 auth token 和 csrf token 是两回事

[hanhui]

@luikore 我没让作者去看oauth部分。不过oauth获取code过程中也有防止csrf的字符串。我是让楼主去参考腾讯微博的csrf token设计。

[roricon]

以jQuery为例，你ajax请求时多返回一条token的值，之后在callback函数里面用js更改token相关的HTML DOM.

[6711411]

token 怎么会更新? session 没变, token 也不会变.

[fanzc]

可以参考Angularjs的实现方式，头部信息里添加X-XSRF-TOKEN,

具体参考[链接](http://docs.angularjs.org/api/ng.$http)

[breeswish]

csrf-token的目的是，让攻击者不能伪造请求（如通过img发起的请求会带上cookie）。因此，csrf-token不需要每个请求都改变，只需要确保对于每个session不一致即可，同一个session内不变没有问题。