如何限制Tomcat anti-CSRF Token重复使用次数？设为1是否最安全？

1. 设置Token重复使用次数的方法 #

你遇到的Token可重复使用约5次，是因为CsrfPreventionFilter默认的nonceCacheSize参数值为5，这个参数用来控制每个用户会话中缓存的有效CSRF Token数量。

要修改重复使用次数，只需在web.xml的CsrfFilter配置中添加对应的初始化参数即可：

<filter>
    <filter-name>CsrfFilter</filter-name>
    <filter-class>org.apache.catalina.filters.CsrfPreventionFilter</filter-class>
    <init-param>
        <param-name>entryPoints</param-name>
        <param-value>/, /main.jsp</param-value>
    </init-param>
    <init-param>                    
        <param-name>nonceRequestParameterName</param-name>
        <param-value>CSRFToken</param-value>
    </init-param>
    <!-- 添加Token缓存数量配置 -->
    <init-param>
        <param-name>nonceCacheSize</param-name>
        <param-value>1</param-value> <!-- 这里设置你想要的重复次数 -->
    </init-param>
</filter>
<filter-mapping>
    <filter-name>CsrfFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

2. 将重复次数设为1是否是最安全的方式 #

从安全角度来说，将nonceCacheSize设为1是最严格的配置——每个Token仅能使用一次，用完即失效，能最大程度降低Token被窃取后复用的风险。

但实际应用中需要权衡安全与用户体验：

• 如果你的系统包含敏感操作（如资金转账、账号信息修改），设为1是最优选择，能避免攻击者利用复用的Token执行恶意操作；
• 如果是普通页面操作，设为1可能导致合法请求被拦截（比如用户同时打开多个标签页、重复提交表单），此时可以适当增大缓存值（比如保留默认的5），平衡安全性和可用性。

3. 关于Token跨路径复用的问题 #

你提到的替换URL路径仍能使用同一Token，是因为默认的CsrfPreventionFilter的Token是会话级的，并未与请求路径绑定。如果需要限制Token仅能在特定路径使用，可以通过以下方式优化：

• 开启Referer验证：添加enableRefererValidation参数并设为true，强制验证请求的Referer头是否属于当前域名，避免跨路径的非法复用；
• 自定义扩展Filter：如果需要更细粒度的路径绑定，可继承CsrfPreventionFilter，重写验证逻辑，让Token与请求路径、会话ID进行关联校验。

内容的提问来源于stack exchange，提问作者TaihouKai