security - 一次性csrf令牌的优点

每个请求使用唯一的一次性csrf令牌有什么好处吗？

就可以想象的唯一一次性每个请求令牌的有用性而言，它是对重定向或使用csrf令牌跟随url的保护。当用户使用csrf令牌跟随url时，它很有用。服务器在此请求期间将令牌标记为过期。用户发布带有过时和一次性令牌的URL并不危险。

但是，当发生服务器繁忙或网络传输错误时，csrf令牌未标记为过时。这个带有效csrf令牌的url正在向用户提供，并且可能被公开。这个有效的csrf令牌可以被用户公开使用。

因此，使用重定向或使用带有csrf令牌的url后，一次性唯一csrf令牌不能保证。所以我们不能使用重定向或跟随url与csrf令牌，但可能只使用这样的url作为XMLHttpRequest（或ajax等..）。

问题是当我们不使用重定向或跟随url和csrf令牌时，使用每个请求令牌的唯一一次性的原因是什么？每个请求令牌是否具有独特的一次性使用的任何其他优点？

您如何看待与脚本注入漏洞相关的差异化。这种攻击似乎不能用单个静态csrf令牌和一次性唯一的csrf令牌来反映。