java - 反向代理背后的 Csrfguard

Question

我已经成功安装CsrfGuard在我的 webapp 上，但是当在反向代理后面的 preprod 上测试时，事情变得很糟糕。CsrfGuard 的 javascript isValidDomain 不认为我的域是有效域:CsrfGuard JavaScriptServlet 返回未代理的域...

这是javascript代码:

if(isValidDomain(document.domain, "myRealDomain")) { … }

isValidDomain 只是一个字符串比较方法，问题是:CsrfGuard JavaScriptServlet 返回“myRealDomain”，javascript 代码“document.domain”返回“myProxiedDomain”:字符串比较失败!

我当时不知道该怎么做，我会很感激指示!我相信有些人以前遇到过这个问题，反向代理似乎很常见。

Answer 1

您可以配置您的代理以添加 header X-Forwarded-By、X-Forwarded-For 和 X-Forwarded-Proto .

代理后面的服务器可以使用这些 header 来重建原始请求(如在代理上执行的那样)。

这样 csrfguard servlet 将使用正确的域来生成脚本。

每个代理/应用服务器的配置当然不同，但这里是 Nginx 与 Tomcat 结合的示例:

示例代理配置 (Nginx):

### proxy headers ###
proxy_set_header        X-Forwarded-By          $server_addr:$server_port;
proxy_set_header        X-Forwarded-For         $remote_addr;
proxy_set_header        X-Forwarded-Proto       $scheme;

示例应用服务器 (tomcat/RemoteIpValve ):

<Valve
    className="org.apache.catalina.valves.RemoteIpValve"
    internalProxies="trusted-ip-here"
    remoteIpHeader="x-forwarded-for"
    proxiesHeader="x-forwarded-by"
    protocolHeader="x-forwarded-proto"
   />