给表单加token可以防暴力破解吗？

Question

前提：这里仅对token对防暴力破解的意义进行讨论，不涉及到其他防暴力破解措施，比如验证码等。看到很多文章都说加token可以防止暴力破解，但并没有说为什么。据小弟的认识，给表单加token (type=“hidden”)后，这个token不管算法多厉害，但是总归会在前端源码中输出，暴力破解者仍然可以在提交认证前获取它，因此token是不是就失去了防暴力的意义了？如果可以防止，又是什么逻辑呢？ 麻烦哪位英雄指点一二。谢谢。

Answer 1

表单token的作用是防止重复提交和CSRF，你的思路没错，破解方只要获取到输出到token值直接提交就可以了。防暴力破解应该理解成防止自动化脚步快速请求以达到破解的目的，所以验证码类防爆破是目前的主流。

Answer 2

没什么用。防账号破解不如考虑一下密码3次错锁定账号15分钟之类的，虽然不去根，但是破解时间极大的延长了。当然如果你一下子锁12小时，一天能尝试6次，一年2200次，估计有生之年没希望了。

Answer 3

token抓下来，接着上次的密码再继续请求就可以了　，可以多弄几台机器，每台机器分一个区间，分布式破解

Answer 4

防止重复提交还行,但是弊端也很大的说,就是 防君子不防小人,给正常人增加难度而已.

Answer 5

大兄弟可以去看看yii2.0如何防止csrf攻击的