c# - nonce トークンを生成して CSRF を防止しますか?

Question

私はこの記事を読んでいて、トークンと同じ値を保持するセッションとともに、ajax関数で変数として送信されるナンストークンを作成してCSRFを防ぐことについて説明しました。常に多くのアクティブなユーザーがいる大規模な Web サイトでセッションを使用するのは本当に好きではないので、これは良い考えですか?

Answer 1

いいえ、各ユーザーに固有の推測不可能な値がある限り、nonce は必要ありません。たとえばSHA1( user_id + "secret string nobody knows")、

別の質問でナンスとCSRFの違いについて答えました：

https://stackoverflow.com/a/9803497/27009