Flask/WTF中CSRF令牌是否正确实现？令牌可见性存疑

• 浏览器能看到hidden类型的CSRF令牌是正常现象
  CSRF令牌的核心作用是随表单提交给后端做校验，所以必须以hidden字段的形式嵌入表单中。表单的所有字段（包括hidden）本来就是客户端可见的，这不是安全问题——攻击者无法拿到用户会话中存储的对应令牌值，就算看到表单里的令牌，也没法在其他请求中复用。

• Flask-WTF的CSRF令牌和会话绑定
  后端会把生成的令牌存储在用户的session中，当你提交表单时，Flask-WTF会自动对比表单提交的令牌和session里存储的令牌是否一致，只有匹配才会通过校验。这种会话绑定的机制才是防护CSRF的核心，而非隐藏令牌本身。

• 你的实现完全符合规范
  启用CSRFProtect、让表单继承FlaskForm、用wtf.quick_form渲染表单，这些都是Flask-WTF官方推荐的正确做法，功能正常就说明CSRF防护已经生效。

内容的提问来源于stack exchange，提问作者Nicolas-Fractal