客户端如何获取从未在任何响应中发送的 csrf 令牌？

Question

社交媒体平台 twitter.com / x.com 上的 csrf 令牌存储在名为

x-csrf-token

的标头和名为

ct0

的 cookie 中。

但是，这个令牌似乎从未发送给 Twitter 上的客户端。它不会出现在任何响应正文、响应标头（例如 set-cookie）、cookie 或 html 标记中，并且在某些时候它会突然出现在对 Twitter 或 Twitter API 的特定请求的请求标头中。

我的问题是：csrf 令牌怎么会突然出现在从客户端到服务器的请求的请求标头中，而从未发送到客户端？

csrf token是在客户端生成的吗？ csrf token是通过哪种请求/机制传递给客户端的？

Answer 1

这方面有什么更新吗？我也有同样的问题....

所有 API/graphql 请求都可以通过发送 3 个标头以编程方式完成：

• 授权
• cookie（auth_token + ct0）
• x-csrf-token（与 ct0 相同）

设置这些 cookie 的请求之一是执行 --> POST https://api.x.com/1.1/onboarding/task.json

但它还通过标头发送授权令牌和 X-Guest-Token :/