Tomcat 怎样防止跨站请求伪造

答案:2 悬赏:80 手机版

解决时间 2021-04-03 23:50

提问者网友：寂寞撕碎了回忆
2021-04-03 18:26

Tomcat 怎样防止跨站请求伪造

最佳答案

五星知识达人网友：老鼠爱大米
2021-04-03 19:18

这里有两个方案，可以参考：
方案一：每个请求都带上一个由服务器生成的随机参数。然后在服务器端和对该参数，如果和下发的随机数不同，则可以认为有人在伪造请求。因为攻击者无法知道他本次攻击的http请求需要带什么样的随机数才是有效的。方案二：跨域伪造之所以能成功，主要决定因素是攻击者的页面和稍候被打开的目标页面共享session信息。受害者登录后，攻击者的页面通过ajax向被攻击网站的关键业务发起的请求便自动带上了合法的session信息。但是，根据javascript的同源策略可知，挂有A域名的窗口，不能获取挂有B域名窗口中的任何信息，不管B是如何被打开的。据此，我们可以在客户端的每个要保护的业务链接上增加一个参数sessionId，这个参数可以通过js从cookie中获得。然后，在服务器端获取此参数，并同真正的sessionId做对比，如果不同，则认为请求是伪造的。因为攻击者的窗口无法从被攻击网站的窗口中取得这个sessionId。方案二的实现: 定义一个过滤器, 对页面传递过来的sessionid和实际sessionid进行比较, 相同则通过
定义过滤器
请求时增加sessionid参数

全部回答

1楼网友：鱼忧
2021-04-03 20:56

没看懂什么意思？

我要举报

如以上回答内容为低俗、色情、不良、暴力、侵权、涉及违法等信息，可以点下面链接进行举报！

点此我要举报以上问答信息