更改 IP 地址已阻止 OWASP CSRF 触发

Question

我们在应用程序中使用 owasp csrf 工具。这是一个相当古老的 java8 / Tomcat 应用程序，但是这方面已经很长时间没有问题了。我们有 3 个环境 -

• dev - 本地机器测试
• 作为生产在远程服务器上运行 制作
• 在远程服务器上运行

我们最近更改了测试服务器的 ip 地址，OWASP 保护似乎不再在此环境中触发。我不相信代码库中有任何内容会导致此更改，因为它仍然适用于开发人员。我已经检查过，代码中没有对旧 IP 地址的硬编码引用。

令牌仍在测试时注入到表单中，并在初始设置和第二次登录&提交之间发生变化。

owasp_csrf.js 文件仍然处于活动状态，因为我在其中放置了一些警报进行检查并且它们触发了（我注意到开发人员我们的警告消息出现在警报之前所以我认为这不是令牌检查的主要部分发生）。

一切似乎都按预期工作，除了 csrf 检查似乎没有触发。

所以，我的测试是

1. 登录并在数据输入表中输入数据
2. 提交前退出
3. 重新登录（不同的用户，虽然这在生产中不是必需的）
4. 使用后退按钮回到之前填写的表格并提交
5. 在测试中允许提交（在开发和生产中它触发 csrf 警报）。

我认为这已经有一段时间没有经过测试了，但我知道它已经过去了。我相信唯一显着的区别是 IP 地址更改，但我无法在代码库或 Tomcat 配置中找到相关的任何地方。 （我已经仔细检查了主机文件并重新启动，以防（linux）服务器设置的任何方面错过了 ip 更改）。

抱歉，如果这有点含糊，但我想知道是否有人对 ip 地址可能与 OWASP csrf 设置相关的位置有任何想法？