Ich verstehe nicht, wie die Verwendung eines „Challenge-Tokens“ irgendeine Art von Prävention bietet: Welcher Wert sollte mit was verglichen werden?

Von OWASP:

Im Allgemeinen benötigen Entwickler nur Generieren Sie dieses Token einmal Aktuelle Sitzung. Nach der Initialisierung Die Generierung dieses Tokens, dessen Wert ist in der Sitzung gespeichert und verwendet Für jede weitere Anfrage, bis Sitzung abgelaufen.

Wenn ich den Prozess richtig verstehe, passiert Folgendes.

Ich melde mich bei http://example.com an und erstelle eine Sitzung/ein Cookie mit diesem zufälligen Token. Jedes Formular enthält dann eine versteckte Eingabe, die auch einen Zufallswert aus der Sitzung enthält, der bei der Formularübermittlung mit der Sitzung/dem Cookie verglichen wird.

Aber was kann damit erreicht werden? Holen Sie sich nicht einfach die Sitzungsdaten, fügen Sie sie auf die Seite ein und vergleichen Sie sie mit genau denselben Sitzungsdaten? Scheint ein Zirkelschluss zu sein. In diesen Artikeln wird ständig davon gesprochen, einer „Same-Origin-Richtlinie“ zu folgen, aber das macht keinen Sinn, weil alle CSRF-Angriffe vom Benutzer ausgehen und den Benutzer lediglich dazu verleiten, etwas zu tun, was er/sie nicht beabsichtigt.

Gibt es außer dem Anhängen des Tokens als Abfragezeichenfolge an jede URL noch andere Optionen? Sieht sehr hässlich und unpraktisch aus und erschwert Benutzern das Setzen von Lesezeichen.