java - 如何防止遗留 Java 应用程序中的 CSRF 攻击？

Question

我正在开发一个已有 12 年以上历史的 Java Web 应用程序。它遵循客户独特的框架，而不是任何行业标准框架!最近为该应用程序生成了一份 Appscan 报告，根据该报告，该应用程序存在高度严重的安全问题，例如容易出现 CSRF、SQL 注入(inject)等。

现在我必须纯粹用 Java 实现一些东西，不使用任何框架并摆脱这种 CSRF 攻击。我做了一些谷歌，发现我们必须在 URL 中附加一个临时 token ，然后验证它。这是唯一的方法吗。我无法得到太多实用的解决方案。

有没有人有处理过这种情况的经验？请帮我!

Answer 1

防止 CSRF 攻击的最佳方法是向服务器呈现的每个响应添加随机生成的 token 。然后在服务器收到的下一个请求中检索并检查 token 。如果 token 不匹配，则存在 CSRF 攻击的可能性。

由于您使用的是 servlet ，因此您可以使用 servlet 过滤器来实现此功能。您可以在 doFilter(ServletRequest request, ServletResponse response) 方法中编写 CSRF token 检查功能。

通常，与 CSRF 攻击相关的威胁可以使用 Spring Security 等安全框架来解决。