Gorilla CSRF 单页双表单场景下登出表单提交报CSRF token无效

你观察到的「单表单提交正常、同页面多表单时后渲染的表单提交正常、先渲染的表单校验失败」现象，是CSRF实现中非常典型的副作用问题：
你当前模板中使用的.CsrfField，不是提前生成好的静态HTML字符串，而是绑定了动态生成逻辑的方法——每次模板渲染调用这个方法时，都会重新生成一份新的CSRF token，并且把用户会话中存储的「当前有效CSRF token」直接覆写为刚生成的新值。

对应你的页面渲染流程按顺序拆解：

1. 渲染到登出表单的{{.CsrfField}}位置时，第一次调用CSRF生成逻辑：
   • 输出第一份隐藏input，token值为临时生成的tokenA
   • 逻辑副作用触发，把当前会话绑定的有效CSRF token更新为tokenA
2. 继续渲染到创建表单的{{.CsrfField}}位置时，第二次调用CSRF生成逻辑：
   • 输出第二份隐藏input，token值为重新生成的tokenB
   • 逻辑副作用再次触发，把会话绑定的有效CSRF token覆写为tokenB

最终页面留存的两个表单分别携带tokenA、tokenB，但会话里现在只认最后一次写入的tokenB：

• 提交创建表单时携带tokenB，和会话校验值完全匹配，顺利通过
• 提交登出表单时携带tokenA，和会话里存储的tokenB不匹配，直接抛出CSRF校验失败
• 当页面只有单个表单时，页面渲染完成后会话存储的有效token刚好和这个表单内嵌的token一致，所以提交流程完全正常

这个问题不需要怀疑前端HTML合法性，你可以直接在浏览器开发者工具的元素面板中核对两个表单内CSRF隐藏input的value值，如果两个值不相同，就完全匹配这个问题的特征。

• 方案1：将CSRF字段的生成动作前移到控制器逻辑中，生成一次静态HTML字符串再传入模板
  不要把动态的CSRF生成方法直接暴露给模板上下文。在控制器拿到页面渲染上下文时，提前调用一次CSRF生成方法，把最终需要输出的完整隐藏input HTML（例如<input type="hidden" name="csrf_token" value="xxx">）作为固定的静态值存入.CsrfField变量。整个页面无论多少次引用这个变量，输出的都是同一份token内容，渲染过程也不会触发多次覆写会话的副作用。

  注意：需要提前确认你使用的CSRF中间件支持「同一个token在同一会话内多位置复用」，而不是单次消费就立即作废。

• 方案2：调整CSRF字段的实现逻辑，解耦「会话token写入」和「token输出」两个动作
  现在的实现把「生成新token、更新会话」和「输出隐藏input HTML」两个动作绑定在同一次模板调用上。调整后要保证：同一次页面渲染的生命周期内，第一次调用生成逻辑时生成token、写入会话，后续所有调用输出的都是第一次生成的同一个token值，不会重复生成、覆写会话存储的有效token。
• 方案3：如果使用的CSRF组件支持多表单独立映射能力，就不要在每个表单中重复调用全局CSRF生成逻辑
  部分CSRF中间件支持为不同表单生成独立的校验绑定关系，这种场景下不要复用全局的CSRF生成方法，在每个表单的专属渲染上下文内单独传入对应生成的token值，避免全局会话中的有效token被反复覆写。

内容的提问来源于stack exchange，提问作者Jake Boomgaarden