firefox - tomcat(apache-tomcat-6.0.32)的 CSRF 方法在 firefox 14.0.1 上无法正常工作

Question

我正在使用 tomcat(apache-tomcat-6.0.32) 的 CSRF 方法进行安全扫描(以避免跨站点伪造)，但我遇到了 firefox 的以下问题:
1. Firefox 不支持 tomcat 以正确方式提供的 CSRF，firefox 创建多个 session 。2. 每当任何异常(如 JSP 异常)出现在页面上时。 Firefox 将其重定向到 CSRFPreventionFilter 并且此过滤器创建新 session 。3. 有时在遍历应用程序时，CSRFPreventionFilter 过滤器也会创建新 session 。

Answer 1

HttpSession 的创建是设计使然:CSRFPreventionFilter 使用 HttpSession 对象来存储用于保护 URL 的随机数。

CSRFPreventionFilter 只调用 HttpServletRequest.getSession(true) 并且永远不会使 session 无效，因此它不应该创建任何额外的 session (或切换 session )。

请注意，最新版本的 Tomcat 会在跨越身份验证边界时更改 session ID(即，当您输入用户名和密码时)。这是针对另一种攻击的缓解措施: session 固定。