spring - Tomcat 7 中的 CSRF 保护

Question

如何使用 Tomcat 7 防止 CSRF 保护？

听说tomcat 7提供了CSRF filter http://tomcat.apache.org/tomcat-7.0-doc/api/org/apache/catalina/filters/CsrfPreventionFilter.html

但是它是线程安全的吗？

或者我们应该在我们的 spring 3 应用程序中进行自定义保护吗？

Answer 1

CsrfPreventionFilter 是防止 CSRF 攻击的好方法，尽管它是 tomcat 代码库的一部分并且基于将 token 放入 URL。

这意味着 token 将被记录等，最好将 token 放在页面的每种形式的隐藏字段中。

Spring Security 3.2 将有内置支持，该解决方案也可以在其他应用服务器上运行。但是根据您的应用程序，可能不需要在 spring 级别构建自定义保护，tomcat 解决方案可以正常工作。

tomcat 过滤器是线程安全的，因为每个 http 请求都由一个线程从头到尾处理，并且 token 缓存具有同步访问。