php - 处理失败的 nonce 验证的最佳方法是什么？

Question

我对随机数的理解很模糊，但有点困惑。

nonce 验证失败时的正确响应是什么？

在什么情况下 nonce 验证会失败？对真正的用户有什么风险？

Answer 1

表单随机数的目标通常有两个:确保数据只提交一次，并确保用户实际提交。第二点帮助防御跨站请求伪造:http://en.wikipedia.org/wiki/Cross-site_request_forgery

处理它们取决于上下文。如果用户正在填写表单并且 nonce 失败，请刷新页面(预填充数据)，说一些良性的事情，例如“糟糕，出现问题，请检查您的输入并再次提交”。有效用户可以点击提交，攻击将被阻止，或者用户至少知道发生了什么。

验证可能会因某些原因而失败。如果您启用了某种形式的浏览器缓存，用户访问一个表单(使用给定的随机数)，然后导航到另一个表单(使用它自己的随机数)并通过后退按钮返回到第一个，随机数可能会失败.通过允许浏览器缓存发生，他们没有刷新页面，并且您的服务器可能只在 session 中为他们存储一个有效的随机数，因此他们不会匹配。一个有效的用例和一个失败的随机数(我不会为此失眠，只要确保重新填充表单即可)。

总的来说，我的建议是:告诉用户再次提交，巧妙地暗示他们应该检查他们的输入，让再次提交变得容易。