Tomcat中的CSRF保護7

Question

如何使用Tomcat 7防止CSRF保護？

我聽說的Tomcat 7提供了CSRF過濾 http://tomcat.apache.org/tomcat-7.0-doc/api/org/apache/catalina/filters/CsrfPreventionFilter.html

但它是線程安全的？

或者我們是否會在我們的spring 3應用程序中進行自定義保護？

Answer 1

CsrfPreventionFilter是防止CSRF攻擊的好方法，儘管它是tomcat代碼庫的一部分，並且基於將該令牌放入URL中。

這意味着令牌將被記錄等，最好將令牌放在每個頁面的隱藏字段中。

Spring Security 3.2將具有內置的支持，該解決方案也可以在其他應用程序服務器上運行。但根據您的應用程序，可能不需要在spring級別構建自定義保護，tomcat解決方案可以正常工作。

tomcat過濾器是線程安全的，因爲每個http請求都由一個線程從頭到尾進行處理，並且令牌緩存具有同步訪問權限。