ColdFusion(2018) CF Admin无法保存设置 操作跳转登录页报token错误

问题现象 #

• 操作ColdFusion（2018）管理员窗口时，无法保存任何设置，新建scheduler/gateway等写操作也无法执行
• 触发写操作后页面自动重定向到登录页，错误日志记录报错：

"There was an error while verifying the token. Either the session timed out or un-authenticated access is suspected."

排查步骤与对应解决方案 #

1. 会话与Cookie链路检查 #

• 登录CF Admin后进入「服务器设置 > 内存变量」，查看会话超时时间，若设置值低于5分钟会导致操作过程中会话直接失效，调整为15~30分钟后重启CF服务再测试。
• 清除浏览器中CF Admin对应域名下的所有Cookie，关闭第三方Cookie拦截、隐私浏览模式、广告/安全拦截插件后重新登录测试，避免Cookie被拦截导致token无法正常传递。
• 若CF部署在反向代理、负载均衡后方，先检查代理层是否改写了Cookie的Domain、Path属性，多节点部署必须开启会话粘滞，同时保证所有节点的ColdFusion版本、补丁、配置完全一致，避免请求转发到不同节点时会话无法识别。

2. 已知Bug与CSRF配置检查 #

• ColdFusion 2018早期版本存在CSRF token校验的已知缺陷，优先安装对应版本的最新累积更新包，重启服务后测试，大部分同类问题都可以通过打补丁修复。
• 备份cfusion/lib/neo-security.xml配置文件，检查csrf.enabled配置项是否被异常篡改，若配置值混乱可恢复为默认值后重启服务。
• 检查前端WAF、CDN、主机防护规则是否拦截了POST请求中的cfid、cftoken、csrfToken参数，是否存在请求体重写导致参数丢失的情况，可临时绕过防护层直连CF服务测试。

3. 目录权限与文件锁检查 #

• 确认ColdFusion服务运行账号对cfusion/lib、cfusion/runtime/conf、cfusion/wwwroot/CFIDE三个目录拥有完整读写权限，权限不足会导致token生成、校验逻辑无法读取写入对应配置，触发校验失败。
• 检查服务器上的杀毒软件、主机入侵防护软件是否锁定了上述目录的配置文件，若存在锁定情况将CF安装整体目录加入防护白名单即可。

4. 排障临时方案 #

注意：临时关闭CSRF校验会降低后台安全性，仅可用于排障，不可作为长期运行配置
如果需要快速验证问题是否出在CSRF校验链路，可临时关闭CSRF校验：

1. 打开cfusion/lib/neo-security.xml文件
2. 找到配置项<var name='csrf.enabled'><boolean value='true'/></var>，将true修改为false
3. 重启ColdFusion服务后测试操作是否恢复正常，若恢复即可定位为CSRF校验链路问题，再逐一排查补丁、代理、配置项问题。

内容的提问来源于stack exchange，提问作者Ritu