CSRF sulla pagina di accesso

5

Ho un token CSRF nella pagina di accesso, che funziona come previsto. Quindi, quando l'utente ha la pagina di accesso aperta per un lungo periodo (il token è scaduto in background). Quando inseriscono correttamente le credenziali di accesso, comunica loro che l'azione non è valida perché il token è scaduto e le reindirizza nuovamente alla pagina di accesso, dove ora possono essere inserite correttamente.

Penso che il comportamento sia come previsto, perché il token CSRF è diventato obsoleto e un'azione esplicita ha recuperato il token corretto. Gli utenti lo odiano perché devono inserire le informazioni di accesso due volte.

Qualche consiglio? Questo sembra un problema molto comune con CSRF su una pagina di login che rimane lì per molto tempo ..

Grazie e apprezzamento per qualsiasi aiuto.

    
posta Mulder 25.03.2016 - 00:49
fonte

1 risposta

3

Opzione 1) Effettua il login con un'operazione di due pagine. Nome utente in prima pagina, password successiva. Non è necessario avere la protezione CSRF nella pagina del nome utente. Gli utenti capiranno un timeout sulla pagina della password.

Opzione 2) Avere qualche JavaScript che mostra un conto alla rovescia se la pagina è aperta troppo a lungo. Se si verifica il timeout, disabilitare il modulo di accesso e inserire un avviso che informa l'utente di aggiornare prima di continuare.

    
risposta data 25.03.2016 - 05:09
fonte

Leggi altre domande sui tag