无用户会话的公开HTML订阅表单是否需要CSRF Token？求技术建议

1. 此场景是否需要CSRF Token？攻击表现形式是什么？ #

需要添加CSRF Token。虽然表单无用户登录会话，但仍存在CSRF攻击风险，具体表现为：

• 攻击者构造恶意页面，嵌入自动提交的订阅表单（比如通过<iframe>或JS自动触发提交），诱导普通用户访问后，会在用户不知情的情况下，用预设的姓名/邮箱（甚至窃取用户浏览器内的邮箱信息）提交订阅请求，导致用户莫名收到订阅邮件，或邮件列表被大量垃圾信息填满。
• 攻击者可批量生成请求，绕过前端限制，短时间内提交大量无效订阅，增加服务器负载与管理员审核成本。

2. SQL注入问题 #

既然你已妥善处理SQL注入（比如使用参数化查询、ORM框架等），该风险已得到有效控制，无需额外操作。

3. CSRF Token的最优实现方式 #

核心原则：必须在服务器端生成Token #

客户端生成Token不可行——攻击者完全可以模仿客户端的生成逻辑自行构造Token，无法起到验证请求合法性的作用。

具体实现步骤： #

• 服务器端生成与存储：
  1. 用户访问订阅页面时，服务器生成足够随机的Token（比如用32位随机字节转十六进制字符串，或通过HMAC算法生成）。
  2. 将Token同时存储到两个位置：
     • 无HttpOnly属性的Cookie中（前端JS可读取，但需确保页面无XSS漏洞）；
     • 页面的隐藏表单字段里，例如：<input type="hidden" name="csrf_token" value="生成的Token值">。
• 提交验证：
  表单提交到服务器后，取出Cookie中的Token与表单字段中的Token进行对比：
  • 一致则处理请求；
  • 不一致直接拒绝并返回错误提示。

额外注意事项： #

• Token有效期不宜过长，建议设置为1小时，避免被攻击者复用；
• 不要将Token放在URL参数中，防止被服务器日志、Referer头记录泄露；
• 若页面为纯静态（无服务器渲染能力），可新增一个接口专门用于获取CSRF Token，前端调用接口后将Token存入Cookie与内存，提交表单时一并携带。

内容的提问来源于stack exchange，提问作者supermoto1961