Para el patrón de token cifrado anti-CSRF, la OWASP page describe la página anterior El token cifrado se compone de tres elementos: el ID del usuario, un valor de marca de tiempo y un nonce.
La necesidad programática de los dos primeros es obvia, pero ¿qué pasa con el tercero? ¿Cuál es la necesidad real del componente de datos aleatorios?
Entiendo por qué en el caso del patrón de token de sincronizador ordinario.
Pero, ¿cuál sería el problema para el patrón de token cifrado con la implementación de un token compuesto solo por UserId y timestamp, que luego estará sujeto a encrypt-then-mac.
¿Se considera importante hacer que el token cifrado sea más criptográficamente seguro (al hacer que el texto simple sea más largo y menos predecible)?