java - 保护旧 Web 应用程序免受 CSRF 攻击，而无需在所有表单中添加隐藏输入

Question

在最近对我们的 Java 网络应用程序进行安全扫描时，我们发现了 CSRF 漏洞。我知道对于使用 Spring Security 等安全框架的较新应用程序，我们可以轻松地为每个表单添加隐藏输入并进行其他所需的配置，这将解决问题。

<input type="hidden"
name="${_csrf.parameterName}"
value="${_csrf.token}"/>

但我们的应用程序非常古老，仍在使用 acegi-security (1.0.2)，并且有 100 多个用 JSP 编写的表单。在所有这些表单上添加一个输入类型隐藏的 csrf token 似乎非常乏味。有没有更聪明的方法来保护我的应用程序而无需所有这些艰苦的工作。

Answer 1

Synchronizer Token Pattern 是防止 CSRF 的最佳方式。

另一种防止 CSRF 的方法是检查 referer header 。示例代码，

String request_origin = request.getHeader("referer");

//check if origin of the request 
//is coming from known source
if(!knownURIs(request_origin)){ 
    //reject the request 
}
else
    //process request

但是，如果您使用的是 HTTPS 和/或如果您的网站容易受到 XSS/Open 重定向的攻击，这种方法可以轻松绕过此检查，则此方法将不起作用。