相同参数与环境下重发POST请求返回HTTP 500错误原因问询

即使站点没有公开的登录功能，服务端仍然会针对访客会话做请求合法性校验，你遇到的报错通常由以下几类机制触发：

• 短时效CSRF令牌校验：站点会给每个访客会话生成一次性或短有效期的CSRF令牌，令牌会嵌入页面、请求头或POST参数中，每个令牌仅支持单次使用、或有效期仅为几十秒，首次请求成功后该令牌就会被服务端标记为失效，重发携带旧令牌的请求会直接被拦截。
• 请求时间戳校验：请求参数或自定义Header中通常会携带客户端生成的时间戳，服务端会校验该时间戳与服务器当前时间的差值，超过预设阈值（通常为15~60秒）就会判定为非法请求，你抓包后间隔一段时间重发就会触发该限制。
• 单次有效Nonce值校验：部分站点会为每个会话的请求分配唯一的递增nonce值，每个nonce仅允许使用一次，首次请求完成后该nonce就会被作废，重发携带相同nonce的请求会直接校验失败。
• 会话凭证动态更新：首次请求完成后服务端可能会下发新的Cookie值刷新会话凭证，你重发时使用的是抓包得到的旧Cookie，与服务端当前存储的有效会话凭证不匹配，导致校验不通过。

验证方法 #

你可以逐字段对比首次200响应请求和重发500响应请求的所有内容：

• 对比所有POST参数，重点排查字段名包含csrf、token、nonce、ts、time、state的字段是否存在差异
• 对比所有请求头，尤其是Cookie、自定义请求头（比如X-CSRF-Token、X-Requested-With类字段）的内容差异
• 查看首次请求的响应头中是否存在Set-Cookie字段，确认会话Cookie是否在首次请求后被更新

内容的提问来源于stack exchange，提问作者Fukushusha