Discussion :

[bogizo]

Bien le bonjour,

Pas sûr d'être dans le forum adéquat, mais bon ca traite de CSRF et j'ai vu d'autres cases en parler ;-)

Pour vous, est ce un problème de sécurité de pouvoir voir le token CSRF dans le code source de la page ou encore dans la "status bar" du navigateur?

Merci d'avance pour vos réponses

Bogizo

[scvo.0ne]

Non absolument pas.

Le token sera forcément visible à un moment, que ça soit dans l'url, dans le code source, ou dans les trames réseau.

[grunk]

L'important c'est que le token ne soit pas déterminable à l'avance. Qu'on puisse le voir une fois la page chargée c'est normale et tout à fait inoffensif puisqu'une autre instance de la page générera un autre token.