csrf token 必须每次请求生成新值，以防被窃取后重复利用；应绑定用户 session 并设有效期，避免存 localstorage、忽略请求头校验或使用弱随机源。
CSRF Token 为什么必须每次请求都生成新值？
因为重用同一个 token 会让攻击者在一次窃取后反复利用——比如通过 XSS 窃取到页面里静态写死的 token，就能伪造任意后续请求。真正安全的做法是：每个表单渲染时调用一次 generateToken()，且该 token 必须绑定当前用户 session 和有限有效期。
常见错误包括：
• 把 token 存在客户端 localStorage 里长期复用
• 在 API 路由中忽略对 X-CSRF-TOKEN 请求头的校验
• 使用时间戳或简单哈希做 token，缺乏加密签名
- PHP 中推荐用
bin2hex(random_bytes(32))生成高熵 token，再存入$_SESSION['csrf_token'] - Laravel 自带的
@csrf指令会自动输出隐藏域 + 绑定 session，但前提是 session 已启动且未过期 - 若用无状态 API（如 JWT），需改用双重提交 Cookie 模式：前端从
Set-Cookie: XSRF-TOKEN=xxx读取，再通过X-XSRF-TOKEN请求头回传
用 Composer 安装的 csrf-protector-php 为什么总校验失败？
这个库默认只拦截 POST、PUT、DELETE 请求，但如果你的前端用 fetch 发送 POST 且没带 Content-Type: application/x-www-form-urlencoded，它会跳过校验——看起来“没生效”，其实是被绕过了。
更关键的是：它依赖 session_start() 且必须在输出任何内容前调用。一旦你有 echo、BOM 字符或 header 已发送，$_SESSION 就不可写，token 无法存储或比对。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 检查是否在
require 'vendor/autoload.php'后立即调用session_start() - 确认表单里包含
<input type="hidden" name="csrf_token" value="{{ $token }}">，且 value 确实动态输出 - 调试时临时加一行
var_dump($_SESSION['csrf_token'], $_POST['csrf_token'] ?? null);，看两边是否一致
为什么 Axios + Laravel Sanctum 仍可能被 CSRF 攻击？
Sanctum 的 EnsureFrontendRequestsAreStateful 中间件只检查是否来自配置的 stateful 域名，并启用 session；但它不自动注入或验证 token——你仍要手动在请求头里带上 X-XSRF-TOKEN，且该值必须来自 /sanctum/csrf-cookie 接口返回的 XSRF-TOKEN Cookie。
典型翻车点：
• 前端没发预检请求（如漏掉 axios.get('/sanctum/csrf-cookie')）
• 后端 SESSION_DOMAIN 配置错误，导致 Cookie 未下发到前端域名
• 使用了 http-only Cookie，但前端 JS 又试图用 document.cookie 读取 XSRF-TOKEN
- Axios 默认开启
withCredentials: true，但必须显式设置：axios.defaults.withCredentials = true -
/sanctum/csrf-cookie必须是第一个请求，且响应头含Set-Cookie: XSRF-TOKEN=xxx; Path=/; Secure; HttpOnly; SameSite=Lax - 若部署在子路径（如
/app/），要同步调整SESSION_PATH和前端 axios baseURL
自定义 CSRF 中间件里，validateToken() 到底比对什么？
不是比对字符串相等就完事。标准做法是：从请求中提取 token（POST body 或 header），再用相同密钥和算法解密/验证服务端存储的 token 是否未过期、未被篡改、且属于当前用户。
例如 Laravel 的 Illuminate\Foundation\Http\Middleware\VerifyCsrfToken 实际调用 $this->tokensMatch()，内部会做：
• 检查 token 长度是否符合预期（避免空值或超长攻击）
• 用 hash_equals() 防时序攻击
• 校验 token 中嵌入的时间戳是否在 session_lifetime 内
- 不要自己写
if ($_POST['token'] === $_SESSION['token'])，这是时序攻击温床 - 若用 Redis 存 token，记得设 TTL，比如
SET csrf:uid123 xxx EX 7200 - 对 AJAX 请求，优先走 header 校验（
X-CSRF-TOKEN），表单 fallback 到 POST 字段，两者逻辑要统一
