页面加载时AJAX请求中Anti-CSRF令牌随机不匹配问题求助

问题是否正常？ #

这种快速连续加载（刷新/双击链接）导致的令牌不匹配是异常但符合并发逻辑的现象——本质是旧页面在document.ready触发的AJAX请求，和新页面初始化Session、重置令牌的操作发生了时序冲突：旧请求带着旧令牌发往服务器时，新页面已经把Session里的令牌换成了新的，自然校验失败。

解决方案 #

1. 核心优化：避免每次页面加载都重置令牌（最有效）

你当前的代码是每次页面加载都生成新令牌覆盖Session值，这是竞态问题的根源。改成「只有Session中无令牌时才生成新的」，或者允许令牌在有效期内复用，就能从根本上减少冲突：

修改PHP代码：

doStartSession();

// 仅当Session中没有该页面的CSRF令牌时，才生成新令牌
if (!isset($_SESSION['csrf-for-this-page'])) {
    $token = sha1(random_bytes(32));
    $_SESSION['csrf-for-this-page'] = $token;
} else {
    // 复用已有的令牌，避免频繁重置
    $token = $_SESSION['csrf-for-this-page'];
}

// 如果你用的csrfSession是封装的赋值函数，替换成对应逻辑即可
// csrfSession($token, 'csrf-for-this-page');

这样旧页面的令牌在Session未失效前依然有效，不会被新页面的加载直接覆盖。

2. 页面加载请求的并发控制

针对document.ready触发的AJAX，用全局变量标记请求状态，避免同页面重复发送，同时防止新旧页面的请求冲突：

修改JS代码：

// 全局标记：标记当前是否有页面加载时的AJAX请求在处理
let isPageLoadRequestRunning = false;

$(document).ready(function() {
    // 只有没有正在运行的请求时，才发送
    if (!isPageLoadRequestRunning) {
        isPageLoadRequestRunning = true;
        
        $.ajax({
            method: 'POST',
            url: 'some-url.php',
            dataType: 'json',
            data: {
                "reachData": 'true',
                "csrf-for-this-page": $('meta[name="csrf-for-this-page"]').attr('content'),
            },
            // 请求完成（成功/失败）后重置标记
            complete: function() {
                isPageLoadRequestRunning = false;
            }
        });
    }
});

这样双击链接或快速刷新时，新页面的请求会因为旧请求未完成而被拦截，不会触发Session令牌的重复重置。

3. 可选：服务器端校验兼容旧令牌

如果业务需要频繁刷新令牌，可以在校验时临时保留旧令牌的有效性（仅限一次），允许旧页面的请求通过：

示例校验逻辑：

function validateCsrfToken($inputToken, $sessionKey) {
    $currentToken = $_SESSION[$sessionKey] ?? '';
    // 允许当前令牌或上一次的令牌通过校验
    $isValid = ($inputToken === $currentToken) || ($inputToken === $_SESSION[$sessionKey . '_previous'] ?? '');
    
    // 校验通过且用的是旧令牌时，更新令牌并保留旧值
    if ($isValid && $inputToken !== $currentToken) {
        $_SESSION[$sessionKey . '_previous'] = $currentToken;
        $_SESSION[$sessionKey] = sha1(random_bytes(32));
    }
    
    return $isValid;
}

总结 #

优先采用方案1+方案2的组合，既从根源减少令牌的不必要重置，又控制了页面加载时的请求并发，完全不需要用setTimeout这种妥协方案。

内容的提问来源于stack exchange，提问作者H. M..