当好的 XSRF 防御变坏时

摘要

标准 CSRF 两步 nonce 防御也会因实现不当而失效：某应用将第二步做成 HTTP 重定向，nonce 随重定向泄露给攻击者，防御形同虚设——照搬建议而不思考细节同样会出漏洞。