HTML 表單渲染，帶有奇怪的隱藏輸入字段

Question

我有一個新的電子商務網站，它使用 forms 來收集客戶信息。 在我們的現場制作網站上，隱藏的輸入字段具有加密外觀的名稱和值屬性。 這是一個例子：

<input type="hidden" name="fxOAgTXmrd_k" value="MHVgCPf2J">  
<input type="hidden" name="jEvdKncJwDa" value="UFQPsvy5bx60OL">
<input type="hidden" name="lcZhEMQDb-" value="nNrvImtYAwde]L">

這些字段不存在於模板代碼中，所以我不知道為什么或如何將它們添加到實時頁面中。 我在本地或遠程暫存環境中看不到這些字段。

這是一個 Wordpress 站點，自定義主題。 我不確定這是否相關。

知道這些隱藏字段的目的是什么嗎？ 這可能是某種黑客攻擊嗎？ forms 似乎按預期提交和重定向。

Answer 1

你描述的看起來像 CSRF Tokens。

什么是 CSRF 代幣？

CSRF 令牌是一個唯一的、秘密的、不可預測的值，由服務器端應用程序生成並以包含在客戶端發出的后續 HTTP 請求中的方式傳輸到客戶端。 當發出后面的請求時，服務器端應用程序驗證請求是否包含預期的令牌，如果令牌丟失或無效，則拒絕請求。

[...]

CSRF 令牌應該如何傳輸？

CSRF 令牌應被視為機密，並在其整個生命周期中以安全的方式進行處理。 通常有效的方法是在使用 POST 方法提交的 HTML 表單的隱藏字段中將令牌傳輸到客戶端。 提交表單時，令牌將作為請求參數包含在內：

<input type="hidden" name="csrf-token" value="CIwNZNlR4XbisJF39I8yWnWX9wX4WFoz" />

來源： https://portswigger.net/web-security/csrf/tokens