security - JSF 2.0 如何防止 CSRF

Question

我正在研究我经常听到的东西，当在 JSF 2.0 中做一个 webapp 时，你已经受到保护，免受交叉脚本 - 脚本和 - 请求伪造的影响。以下摘自 SO post证实了这一点:

In JSF 2.0 this has been improved by using a long and strong autogenerated value instead of a rather predictable sequence value and thus making it a robust CSRF prevention.

有人可以提供更多细节吗？这个自动生成的值如何防止 CSRF？谢谢!

Answer 1

How does this autogenerated value prevent CSRF ?

因为猜不出来。因此攻击者无法以攻击网站的形式将其硬编码在隐藏字段中(除非目标站点存在XSS漏洞，因此可以通过XSS手段直接获取该值)。如果该值对于 JSF 无效，那么从攻击网站提交的表单将不会被处理，而是生成 ViewExpiredException .请注意，攻击者仍需要获取 session ID，以便可以通过 jsessionid 将其传回。 URL 属性，所以原本“弱”的 CSRF 保护仍然需要一些 XSS 漏洞来获取 session ID。

毕竟我的印象是你根本不了解CSRF是什么；如果您了解 CSRF 是什么，那么答案是不言自明的。在这种情况下，请检查以下问题: Am I under risk of CSRF attacks in a POST form that doesn't require the user to be logged in?