java - 哪个基于 Java 的 Web 框架能够更好地防御 XSRF？

Question

我想知道哪个 Java Web 框架具有更好的内置防御 XSRF(跨站请求伪造)攻击的能力。

我知道 GWT 提供了这种保护，如果按照描述进行配置的话 here ，但不知道其他人是否有更好的内置保护。我对 Vaadin 和 Wicket 特别感兴趣，但我的选项列表是开放的。

Answer 1

任何已建立的、众所周知的框架(如您所描述的框架)，如果配置正确，应该为您提供足够的安全性。此外，您使用的任何框架都必须进行一些手动配置，以使其在您的特定环境中正常工作。 “开箱即用”设置通常只为您提供最基本、通用的安全保护。

就我个人而言，我建议采用 GWT 路线并遵循他们的开发指南。但这只是因为我喜欢 GWT，而且我们已经沿着这条路走了。您可以在OWASP找到大量有用的信息。 .

您还应该考虑集成 Spring与您的 GWT 应用程序一起使用，以获得非常好的安全性。

关于 Vaadin 的一点说明。确保它适合您的开发需求。这是一个很棒的框架，可以让很多事情变得非常简单，但请记住，您所做的每个 UI 交互都会发出服务器端请求。因此，如果您处于低延迟环境中，请继续，但要小心您的延迟较高并且您希望提供非常快的 UI 响应时间。但再次强调，我不想破坏 Vaadin，它确实是一个很棒的框架。