本文介绍了一种有效的CSRF（跨站请求伪造）防护方案。主要包括：生成并验证随机token的具体步骤，如在跳转页面前生成随机token并存放在session中；在form中将token放在隐藏域中，在保存时与session中的token进行比较等。
CSRF(Cross - site request forgery) 跨站请求伪造是一类常见编程漏洞。对于存在
CSRF 漏洞的应用/网站，攻击者可以事先构造好 URL ，只要受害者用户一访问，后台便在用户
不知情情况下对数据库中用户参数进行相应修改。
思路：
1、跳转页面前生成随机token，并存放在session中
2、form中将token放在隐藏域中，保存时将token放头部一起提交
3、获取头部token，与session中的token比较，一致则通过，否则不予提交
4、生成新的token，并传给前端
参考：http://blog.youkuaiyun.com/jrn1012/article/details/52750883
扫一扫
115
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
