阿帕奇检票口 9.1 CSRF

【问题标题】：Apache Wicket 9.1 CSRF阿帕奇检票口 9.1 CSRF
【发布时间】：2021-02-15 03:29:18
【问题描述】：

我不完全确定 CSRF 保护是否默认为动作启用？或者，这是否需要我在我的 WicketApplication 中引入 ResourceIsolationRequestCycleLister 并且只有在此之后操作才受 CSRF 保护？

@Override
 protected void init() {
  super.init();
  getRequestCycleListeners().add(new ResourceIsolationRequestCycleListener());
  // ...
 }

【问题讨论】：

标签： wicket

【解决方案1】：

后面的部分是正确的，即只有在您的应用程序中引入 ResourceIsolationRequestCycleLister 之后，操作才会受到 CSRF 保护，而页面请求不会被检查。

【讨论】：

谢谢安德里亚。我现在可以看到 CSRF 保护已经到位，因为我的测试被破坏了。我正在使用 WicketTester 并将上述 WicketApplication（正在设置 ResourceIsolationRequestCycleListener 的位置）作为构造函数参数。我应该以某种方式禁用 CSRF 进行测试，还是需要以某种方式配置 WicketTester 或 FormTesters？
你在测试中所做的应该足够了。也许您可以在查看 ResourceIsolationRequestCycleListener 的测试用例时找到一些帮助（请参见下面的链接）。如果您仍然有问题，请创建另一个问题以更好地跟踪您的问题。 github.com/apache/wicket/blob/…