web 扫描漏洞：HTML form without CSRF protection 问题解决

一.扫描工具：acunetix

二.问题描述

该漏洞主要是利用用户登录网站中的session 或 cookie 信息，采用诱导链接，获取用户浏览器中的相关session 或 cookie ，发送恶意请求或重复攻击；

三.解决方法

1.在提交浏览器表单信息时，增加 token 或 随机数 参数，并将 参数 写入到 session 信息；后台校验时，通过 对比 表单参数和 session 中的参数的一致性，判断表单提交是否是来源于页面的正常请求。

jsp 页面代码如下：

<%@ page language="java" import="java.util.*" pageEncoding="UTF-8"%>
 <% //增加随机数，解决 CSRF 漏洞
		String uuid = UUID.randomUUID().toString().replaceAll("-", "");
		request.getSession().setAttribute("randTxt",uuid);
		//设置cookie只读
		String sessionid = request.getSession().getId();
		response.setHeader("SET-COOKIE", "JSESSIONID=" + sessionid + "; secure ; HttpOnly");  %>

表单提交时，增加随机数参数：

<input type="hidden" name="randSesion"  value = "<%=request.getSession().getAttribute("randTxt")%>" />