GWT＆XSRF保護

我在尋找可能的解決方案來保護我的GWT應用程序免受XSRF攻擊。GWT＆XSRF保護

如果我正確理解GWT's solution - 它提供了一個Servlet，用於在客戶端（在調用RPC端點時）生成令牌並在服務器端驗證（當呼叫遇到您的服務時）。

此解決方案是否僅適用於RPC調用？當然，我們需要它來覆蓋所有用戶對服務器生成的請求？

任何其他推薦的XSRF解決方案（我也在看OWASP's CSRFGuard）？

來源

2011-06-06 Markus Coetzee

除了GWT RPC之外，您還使用了哪些類型的用戶生成請求？ – 2011-06-12 03:17:52

我們有一些servlet，Jack Rabbit存儲庫等，用戶可以爲其生成請求。 – 2011-06-14 18:22:06

我修改了GWT示例應用程序以防XSRF。該解決方案大致基於GWT開發人員文檔中提供的解決方案。 http://code.google.com/p/xsrf-safe/

來源

2011-06-12 03:17:05

我看着你的解決方案，我在流浪，你在哪裏創建和處理客戶端的cookie？因爲我不使用谷歌應用程序，我怎樣才能使用cookie JSESSIONID，它沒有價值，你在哪裏設置了cookie的價值，以及如何處理cookie ......你能解釋一下這個，或者指向我的鏈接？ tnx – Darwly 2012-06-20 13:21:38

「JSESSIONID cookie是在會話創建時創建/發送的，當您的代碼第一次調用request.getSession（）或request.getSession（true）時，將創建Session。」 -http：//stackoverflow.com/questions/595872/under-what-conditions-is-a-jsessionid-created – 2012-06-20 14:09:51

在示例中，request.getSession（）在Xsrf_Safe.jsp中調用http://code.google.com /p/xsrf-safe/source/browse/trunk/war/Xsrf_Safe.jsp – 2012-06-20 14:11:55

回答

相關問題