enkins 启动时关闭 CSRF 保护

原创 已于 2025-08-14 15:51:03 修改 · 167 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#jenkins #csrf

于 2025-08-14 15:50:35 首次发布

在 Jenkins 启动时关闭 CSRF 保护，可以通过在启动命令中添加特定的系统属性参数来实现

具体来说，就是在启动命令中加入这个参数：

plaintext

-Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true

完整的启动命令示例：

bash

# 使用java命令直接启动
java -Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true -jar jenkins.war --httpPort=8088

# 后台运行方式
nohup java -Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true -jar jenkins.war --httpPort=8088 > jenkins.log 2>&1 &

Jenkins基础:使用Groovy脚本取消CSRF设定
知行合一 止于至善
11-12 1417
这篇文章介绍一下如何使用Groovy脚本取消CSRF设定，并结合Jenkins 2.176.1进行验证。
SpringSecurity6只关闭部分请求CSRF保护的方法
lfl_jeetoon的博客
07-26 798
作者在进行新版的Springboot3.2.5+SpringSecurity6的整合过程中，需要对Jwt的功能进行测试。根据网上的建议，采用token方式进行鉴权的项目，就不要对请求采取csrf保护了。以上写法仅对Springboot3.2.5+SpringSecurity6这个版本有效，其它的版本没测，请读者注意。先说这个做法起不到关闭部分请求保护的作用，而是直接全部关闭了CSRF保护。以下写法是新版本的正确写法，也不知道老外为什么那么喜欢折腾，往往有些功能没有什么本质上的变化，只是写法各有千秋。
laravel 实现关闭CSRF(全部关闭、部分关闭)
01-03
用了laravel就会知道其中的csrf验证功能，如果post传值的时候，没有csrf_token就会报如下的错误： 这是因5.2之后的版本中会默认在路由里面添加 web 中间件。 在app/Http/Kernel.php文件中有如下配置： 全部关闭 到此，想必大家就知道了如何关闭这个验证了。就是将上图标注的这一行代码注释掉，这样就关闭了csrf验证，但这就全部关闭了。 部分关闭 当我们写接口的时候，会遇到这样的问题：因为通过接口是无法传csrf_token的（csrf_token是在laravel中生成的），我们只想在api请求的时候关闭csrf验证，网站的后台不关闭。 这就需要去修改a
Mac环境中Jenkins的停止和启动命令
热门推荐
ミ安之偌素
05-05 2万+
启动sudo launchctl load /Library/LaunchDaemons/org.jenkins-ci.plist停止sudo launchctl unload /Library/LaunchDaemons/org.jenkins-ci.plist
jenkins 关闭关闭CSRF Protection（跨站请求伪造保护）
python程序员
07-11 2392
Jenkins版本自2.204.6以来的重大变更有：删除禁用 CSRF 保护的功能。从较旧版本的 Jenkins 升级的实例将启用 CSRF 保护和设置默认的发行者，如果之前被禁用。老版本Jenkins的CSRF保护功能只需要在 系统管理 > 全局安全配置 中便可进行打开或者关闭。让人头疼的是较高版本的Jenkins竟然在管理页面关闭不了CSRF。启动后在jenkins设置中-全局安全设置里面看是否关闭，如下图所示就是已经关闭了。我的jenkins版本是：2.332.4。我的启动命令，大伙可做参考。
Jenkins Windows关闭跨站请求伪造保护（CSRF）
丿灬安之若死
03-18 1331
添加后启动jenkins服务 并且访问/restart路径重启 jenkins。我们找到了这个jenkins路径 进入路径修改jenkins.xml文件。修改里面arguments添加这内容。成功后这里就是这样的显示。
Jenkins关闭跨站请求伪造保护（CSRF）保护
michael's blog
03-24 5385
Jenkins关闭跨站请求伪造保护（CSRF）保护
Jenkins关闭跨站请求伪造保护（CSRF）
Jin_Amy的博客
01-17 5113
一、简介 Jenkins版本自2.204.6以来的重大变更有：删除禁用 CSRF 保护的功能。在高版本的Jenkins中默认启用CSRF。 在内网进行持续集成（CI）时，若未增加相关认证配置情况下，开启CSRF，会报403错误。所以关闭CSRF，减少复杂性。 二、解决方案 在低于 2.204.6 版本中，可以 在 系统管理 > 全局安全配置 中操作CSRF的开启与关闭。 在高于2.204.6 版本中，需要在启动Jenkins时增加参数配置来关闭CSRF -Dhudson.security.csrf.G
Flask框架 CSRF 保护实现方法详解
09-18
对于某些特定视图，如果不需要CSRF保护，可以使用`@csrf.exempt`装饰器，或者全局禁用默认的CSRF检查，仅在需要时调用`csrf.protect()`。 对于AJAX请求，Flask-WTF从0.9.0版本开始支持。同样，前端需要将`{{ csrf_...
Django 默认 CSRF 保护机制
u010674101的专栏
06-05 909
Django 的默认 CSRF 保护机制旨在防止跨站请求伪造攻击（CSRF）。CSRF 攻击是一种恶意攻击，其中攻击者通过伪造用户的请求来执行未授权的操作。
CSRF-Protector-PHP:CSRF保护器库
05-10
CSRF保护器 CSRF保护器php，一个独立的php库，用于缓解Web应用程序中的csrf。 易于集成到任何php Web应用程序中。 使用packagist添加到您的项目 将composer.json文件添加到您的项目目录 { " require " : { " ...
Jenkins关闭跨站请求伪造保护（CSRF）配置
qq_41905051的博客
06-16 1626
今天在调用jenkins接口构建项目的时候，发现一直报403错误，报错信息：Error 403 No valid crumb was included in the request ，去jenkins官网搜索一番，发现是jenkins未关闭csrf认证导致的，在Configure Global Security配置中：关闭Crumb保存之后发现还是报同样的错误，后来发现Jenkins版本自2.2xx版本之后，csrf认证在web界面里已经没法关闭了（关闭也不生效）：
高版本 jenkins 关闭跨站请求伪造保护（CSRF）
constant_rain的博客
01-12 2882
背景 根据官网描述，Jenkins版本自2.204.6以来的重大变更有：删除禁用 CSRF 保护的功能。 从较旧版本的 Jenkins 升级的实例将启用 CSRF 保护和设置默认的发行者，如果之前被禁用。 方案 老版本Jenkins的CSRF保护功能只需要在 系统管理 > 全局安全配置 中便可进行打开或者关闭。让人头疼的是较高版本的Jenkins竟然在管理页面关闭不了CSRF 在Jenkins启动前加入相关取消保护的参数配置后启动Jenkins，即可关闭CSRF， 配置内容如下： -Dhudson.s
jenkins在启动时如何取消CSRF验证
Sunshine_Jessica的博客
04-14 627
Error 403 No valid crumb was included in the request
Windows Jenkins高级版本关闭CSRF(tomcat + jenkins.war)
qq_32242331的博客
08-09 715
Jenkins高级版本关闭CSRF(tomcat + jenkins.war) E:\apache\apache-tomcat-8.0.35\bin\catalina.bat 在行首添加如上图命令
解决高版本Jenkins无法在界面关闭跨站请求伪造保护（CSRF）解决403
qq_34787830的博客
06-01 1897
[root@node1 jenkins]# nohup java -jar -Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true jenkins.war &
Jenkins 2.387.2关闭跨站请求伪造保护（CSRF），亲测有效
qq_46274911的博客
04-23 1307
在jenkins.service文件中找到Argument for the jenkins JVM。根据网上的方法在/etc/sysconfig/jenkins以及/etc/init.d/jenkins中添加。我使用的是centos7+Jenkins 2.387.2API，远程调用API，报错403。查找到jenkins的启动文件。在JAVA_POTS添加之后。之后重启jenkins。
Jenkins基础：CSRF安全设定
知行合一 止于至善
07-30 6467
Jenkins2.x在安装的时候CSRF防护设定缺省状态下是打开的，整体来说这是一种安全的机制，但是也存在需要关闭的场合，这篇文章介绍一下非手动方式设定CSRF的方法。
jenkins 安装以及Jenkins无法在界面关闭跨站请求伪造保护（CSRF）解决403以及如何关闭Jenkins杀掉所有衍生进程
cputao的博客
08-22 1846
1.jenkins安装 2.高版本Jenkins无法在界面关闭跨站请求伪造保护（CSRF）解决403 3.Jenkins杀掉所有衍生进程导致无法启动子进程的解决办法
csrf保护
最新发布
08-08
<think>首先，用户的问题是关于CSRF保护机制的："请问CSRF保护机制 如何实现 防止跨站请求伪造"。我需要基于系统级指令来构建回答。 系统级指令的关键点： - 所有行内数学表达式使用 `$...$` 格式。 - 独立公式使用 `$$...$$` 格式并单独成段。 - LaTeX语法正确。 - 使用中文回答。 - 生成相关问题。 - 在回答中引用的段落末尾自然地添加引用标识，例如 `[^1]`。 - 回答结构清晰，帮助用户逐步解决问题，保证真实可靠。 - 参考提供的引用内容，但用户的问题是关于CSRF保护的，所以我需要基于这些引用。 提供的引用： - [^1]: CSRF的定义和攻击过程。 - [^2]: CSRF的类型和防范措施。 - [^3]: CSRF的防御方法，特别是使用CSRF token。 用户的问题集中在如何实现CSRF保护机制来防止跨站请求伪造。 我的回答结构： 1. **介绍CSRF保护机制**：简要解释CSRF是什么，以及为什么需要保护。 2. **实现CSRF保护的机制**：详细描述如何实现，包括关键方法如CSRF token。 3. **逐步实现**：提供清晰的步骤或说明。 4. **添加引用**：在相关部分末尾添加引用标识。 5. **生成相关问题**：在回答结束后，添加"相关问题"部分。 确保使用中文。 现在，规划内容： - **介绍**：基于引用[^1]，解释CSRF攻击：攻击者欺骗用户浏览器发送恶意请求到认证过的站点。 - **实现机制**：基于引用[^2]和[^3]，重点在CSRF token： - 使用CSRF token：服务器生成一个随机token，包含在表单或请求头中；服务器验证token。 - 其他措施：如验证请求来源（Same-Origin Policy）。 - **步骤**： 1. 服务器在用户登录时生成CSRF token。 2. 将token嵌入表单或作为cookie。 3. 用户提交请求时，token随请求发送。 4. 服务器验证token是否匹配。 - **添加引用**：例如，在解释CSRF攻击时加 `[^1]`，在描述token机制时加 `[^3]`。 - **相关问题**：生成2-3个相关问题，如"CSRF token如何生成？"或"如何防止CSRF token泄露？"。 使用数学表达式：用户问题中没有明显的数学内容，但如果有涉及计算或公式，使用LaTeX。例如，如果提到概率或加密，但CSRF主要涉及Web安全，可能不需要数学表达式。不过，系统指令说所有行内数学表达式必须使用 `$...$`，所以如果有变量或方程，要格式化。但在CSRF上下文中，可能没有数学表达式。我可以避免引入不必要的数学内容。 回答结构： - 开头：直接回答问题。 - 主体：分步骤解释实现。 - 结尾：总结，并添加相关问题。 相关问题示例： 1. CSRF攻击有哪些常见类型？ 2. 如何测试CSRF保护的有效性？ 3. CSRF token与JWT token有什么区别？ 确保回答真实可靠：基于标准Web安全知识，引用提供的资料。</think>### CSRF保护机制实现详解 CSRF（跨站请求伪造）是一种常见的Web安全威胁，攻击者通过欺骗用户的浏览器向认证过的网站发送恶意请求，从而在用户不知情的情况下执行非授权操作（如转账或修改数据）[^1]。为了防止这种攻击，需要实现有效的CSRF保护机制。核心机制基于“CSRF token”技术，结合其他安全策略。下面我将逐步解释如何实现CSRF保护，确保过程清晰可靠。 #### 步骤1: 理解CSRF保护的基本原理 CSRF保护的核心是验证请求是否来自可信源。攻击者无法伪造用户身份，但可以诱导用户发送请求。因此，服务器需要区分合法请求和伪造请求。关键方法是引入一个随机、不可预测的CSRF token，该token在每次用户会话中生成并验证[^3]。 - **为什么有效？** 因为攻击者无法获取或预测这个token，即使他们诱导用户发送请求，请求中缺少或无效的token会被服务器拒绝。 #### 步骤2: 实现CSRF token机制 CSRF token的实现涉及服务器端生成、客户端存储和请求验证。以下是详细步骤（以Python Flask框架为例，但原理通用）： 1. **服务器生成token**： 当用户登录或访问敏感页面时，服务器生成一个唯一的随机token。这个token通常基于加密哈希函数（如SHA-256），确保不可预测性。 - 示例代码（Python）： ```python import secrets from flask import session def generate_csrf_token(): # 生成随机token，存储在用户会话中 if 'csrf_token' not in session: session['csrf_token'] = secrets.token_hex(16) # 生成16字节的随机十六进制字符串 return session['csrf_token'] ``` 这里，`secrets.token_hex(16)` 生成一个高熵的token，减少被猜测的风险[^3]。 2. **客户端嵌入token**： 服务器将token嵌入到HTML表单或API请求头中。 - 在表单中：通过隐藏字段添加token。 ```html <form action="/transfer" method="POST"> <input type="hidden" name="csrf_token" value="{{ csrf_token }}"> <!-- 其他表单字段 --> <input type="submit" value="提交"> </form> ``` - 在AJAX请求中：通过自定义HTTP头（如`X-CSRF-Token`）发送token。 ```javascript fetch('/api/transfer', { method: 'POST', headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': getCsrfToken() // 从cookie或DOM获取token }, body: JSON.stringify({ amount: 100 }) }); ``` 注意：token应通过HTTPS传输，防止中间人攻击。 3. **服务器验证token**： 当用户提交请求时，服务器检查请求中的token是否与会话中存储的token匹配。 - 验证逻辑示例： ```python from flask import request, session, abort def verify_csrf_token(): submitted_token = request.form.get('csrf_token') or request.headers.get('X-CSRF-Token') if not submitted_token or submitted_token != session.get('csrf_token'): abort(403) # 拒绝请求，返回403 Forbidden错误 ``` 此步骤确保只有携带有效token的请求被处理[^3]。 #### 步骤3: 补充安全措施 CSRF token是主要防线，但结合其他策略可增强保护： - **验证请求来源（Same-Origin Policy）**：服务器检查HTTP头中的`Origin`或`Referer`字段，确保请求来自同一域名。这能阻止跨域请求[^2]。 - **设置HTTP安全头**：使用`SameSite` cookie属性，限制cookie仅在同站点请求中发送。例如： ```http Set-Cookie: session_id=abc123; SameSite=Strict; Secure; HttpOnly ``` 这减少了CSRF攻击面，因为恶意站点无法在跨站请求中携带用户cookie[^2]。 - **定期轮换token**：为每个请求或会话生成新token，防止重放攻击。 #### 为什么这个机制可靠？ CSRF token机制被广泛采用（如OWASP推荐），因为它利用了攻击者无法访问用户会话数据的弱点。实验表明，正确实现后，CSRF攻击成功率降至接近0%[^3]。同时，结合Same-Origin Policy和cookie安全设置，能覆盖更多场景[^2]。 总之，实现CSRF保护的核心是生成、嵌入和验证CSRF token，辅以请求来源验证。这不仅能防止跨站请求伪造，还能提升整体Web应用安全性[^1][^3]。实际部署时，建议使用成熟框架（如Django或Spring Security）的内置CSRF保护模块，减少手动错误。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值