关于token防止CSRF的一点想法

最新推荐文章于 2024-07-22 21:24:30 发布

最新推荐文章于 2024-07-22 21:24:30 发布 · 1.2k 阅读

文章标签：

#TOKEN CSRF REFER

WEB 专栏收录该内容

1 篇文章

订阅专栏

本文介绍了一种通过生成和验证token来防止CSRF攻击的方法。服务器生成token并保存于session中，客户端表单提交时携带该token，服务器端验证token的有效性后将其失效，以此确保请求来源的安全性。

一、生成策略
1、服务器端根据一定算法，生成token；
2、保存到session中；
3、前台form表单中取到session放到隐藏标签内；
4、提交表单后和session中token比较，然后失效掉原先的session；

[color=red][b]示例代码：[/b][/color]


class Token(){
		...

		session.setAttribute("TOKEN","token");

		...
	}


<form>
   <#-- freemaker取值方式 -->
   <input type="hidden" id="_token" name="_token" value="${TOKEN}" />
</form>

class Action(){
	...
	if(session.getAttribute("TOKEN").equals(request.getParameter("_token"))){}
	...		
	}

二、防止CSRF原理
用户请求信息的时候，被骇客获取中间请求信息，当然也会获取token信息，但是因为骇客并不能阻止用户请求到目标网站。
用户请求目标网站之后，token已经被校验。所以骇客获取的token信息依然无用。
当时骇客如果在用户请求到目标网站之前先去请求到目标网站，token的作用就没有了。

当然，预防CSRF攻击对refer校验也是不能少的。