Spring MVC：如何從CSRF和XSS保護應用程序

Question

從CSRF和XSS保護我們的Spring MVC應用程序的最佳方式是什麼？

有原生的Spring MVC支持嗎？

Answer 1

在Spring：

形式（全球）：

<context-param> 
<param-name>defaultHtmlEscape</param-name> 
<param-value>true</param-value> 
</context-param> 

形式（本地）：

<spring:htmlEscape defaultHtmlEscape="true" /> 

Answer 2

這裏是一個關於它的博客。

http://blog.eyallupu.com/2012/04/csrf-defense-in-spring-mvc-31.html

另一個。

http://web.securityinnovation.com/appsec-weekly/blog/bid/79007/How-to-Prevent-Cross-Site-Request-Forgery-CSRF-in-SpringMVC

對於令牌生成ESAPI可以使用。 https://code.google.com/p/owasp-esapi-java/

Answer 3

您可以使用Spring Security 3.2.0.RELEASE以及與此配置

<http> 
    <!-- ... --> 
    <csrf /> 
</http>