csrt攻击的原理和防御

最新推荐文章于 2025-05-21 23:55:09 发布

cc_whale

最新推荐文章于 2025-05-21 23:55:09 发布

阅读量1.4k

点赞数

CC 4.0 BY-SA版权

文章标签： js

本文链接：https://blog.youkuaiyun.com/cc_whale/article/details/79238611

本文深入探讨了CSRT（Cross-site request forgery）攻击的原理，指出这种安全威胁可能导致用户在不知情的情况下对数据库中的信息进行非法修改。根据阿里巴巴Java开发手册的安全规约，为防止CSRF，无论是表单还是AJAX提交，都应实施CSRF安全过滤。同时，文章也提及了session和token在防止此类攻击中的不同角色。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

csrt攻击的原理和防御

阿里巴巴Java开发手册安全规约

[强制]表单,ajax提交必须执行CSRF安全过滤。
说明:CSRF(Cross-site request forgery)跨站请求伪造是一类常见编程楼栋。对于存在CSRF漏洞的应用/网站，攻击者事先可以构造好URL，只要受害用户一访问，后台便在用户不知情情况下对数据库中用户参数进行相应修改。

<!-- csrf攻击防御 商城使用拦截器-->
 <mvc:interceptor>
   <!-- 需拦截的地址 -->
   <mvc:mapping path="/memberAddress/**" />
   <mvc:mapping path="/memberInfo/**" />
   <!-- 需排除拦截的地址 -->
   <mvc:exclude-mapping path="/static/**" />
   <bean class="com.ai.ecs.ecm.mall.wap.platform.interceptor.CSRFInterceptor" />
 </mvc:interceptor>

<!--ecop使用表单-->
<script>
//页面加载完成，就在FORM表单里面增加token
$(function(){
    var forms = document.forms;
    $(forms).each(function(){//给文档的每个表单前添加一个隐藏表单
        $(this).prepend("<input type='hidden' value='${csrf}' name='CSRFToken'/>");
    })
})
</script>

```js
//document.forms得到这个文档的Form对象，返回类型是数组
document.forms.length //得到文档表单的个数

“`

session和token的区别