前后端分离解决CSRF问题

最新推荐文章于 2025-10-30 19:40:51 发布

原创

最新推荐文章于 2025-10-30 19:40:51 发布 · 3.6k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#csrf #java #前端 #前后端分离

本文介绍了在spring boot + shiro + jwt环境中，如何实现前后端分离的CSRF防护。通过创建CsrfFilter，注册Filter并在ShiroConfig中配置，登录接口生成X-Access-Token，设置Cookie并处理Spring Boot内嵌Tomcat的限制。前端获取Cookie的X-Csrf-Token，加密后在后续请求中携带，后端验证请求头或请求体中的值与Cookie中的值，防止CSRF攻击。

个人记录，如有错误，敬请指出

项目环境：spring boot+shiro+jwt

简单方式直接通过nginx对Referer进行校验拦截即可，本文不做讲解

1、创建CsrfFilter

import org.springframework.web.filter.OncePerRequestFilter;

import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.ArrayList;
import java.util.Arrays;
import java.util.Collection;
import java.util.List;

public class CsrfFilter extends OncePerRequestFilter {

    private static final String CSRF_TOKEN = "X-Csrf-Token";
    /**
     * 需要排除的接口
     */
    private static final List<String> ignoreCsrfList = new ArrayList<String>();

    private static final List<String> accessRequestList = Arrays.asList(new String[]{"GET", "HEAD", "TRACE", "OPTIONS"});

    private Collection<String> domains;

    static {
        ignoreCsrfList.add("/sys/login");
        ignoreCsrfList.add("/sys/logout");
    }

    public CsrfFilter(Collection<String> domains) {
        this.domains = domains;
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        Strin