为何维基媒体API的CSRF令牌登录1-2小时后失效？

可能的原因 #

• 会话Cookie过期：维基媒体的登录会话Cookie通常默认1-2小时有效期，到期后即便本地保留着原Cookie，服务器端已销毁对应会话，此时请求CSRF令牌时，服务器无法生成有效令牌，就会返回+\这类无效占位值。你确认Cookie与初始一致只是本地存储的内容，服务器端的会话实际已失效。
• CSRF令牌与会话强绑定：维基媒体的CSRF令牌和当前活跃会话绑定，一旦会话过期或被标记无效，服务器无法生成对应有效令牌，只能返回异常值。
• 请求头或Cookie匹配问题：若请求缺失User-Agent、Cookie的domain/path与请求URL不匹配，服务器可能在会话后期判定请求无效，导致返回异常令牌。

解决建议 #

• 自动检测并重新登录：获取CSRF令牌后检查返回值是否为+\，若是则立即触发重新登录流程，获取新的会话Cookie和有效令牌，不要复用过期会话的Cookie。
• 保持会话活跃：在会话有效期内（比如每1小时）发起一次轻量请求（如action=query&meta=userinfo），维持会话状态，避免服务器自动销毁会话。
• 校验请求头完整性：确保每次请求都携带合规的User-Agent、Accept等头信息，同时确认Cookie的domain和path与请求的维基媒体API域名完全匹配。
• 动态更新Cookie：每次登录成功后更新本地存储的Cookie内容，不要一直使用初始登录的旧Cookie，保证Cookie始终对应服务器端的活跃会话。

内容的提问来源于stack exchange，提问作者wahyu nanda