我正在运行一个相当大的站点，每天都有数千次访问，并且有一个相当大的用户群。

自从我开始迁移到MVC 3之后，我一直在使用多种形式的AntiForgeryToken来修改受保护的数据。

一些其他形式，如登录/注册，现在也使用AntiForgeryToken，但是我首先对他们的需求变得疑惑，有几个原因…

>登录表单要求海报知道正确的凭据。我真的不能想到任何一种csrf攻击将在这里受益。特别是如果我检查请求是从同一个主机(检查引荐来源头)
> AntiForgeryToken标记在每次加载页面时都会生成不同的值。如果我有两个标签打开登录页面，然后尝试发布，第一个将成功加载。第二个将使用AntiForgeryTokenException(首先加载两个页面，然后尝试发布它们)将失败。使用更安全的页面 – 这显然是一个必要的邪恶，登录页面 – 似乎是过分的，只是要求麻烦：S

可能有其他原因为什么会使用/不使用它们的形式的令牌。我假定在每个帖子形式中使用令牌是坏的/过度的，如果是 – 什么样的形式将从中受益，哪些不会受益？