Tomcat 7 中的 CSRF 保护

Question

如何使用 Tomcat 7 防止 CSRF 保护？

听说tomcat 7提供了CSRF过滤器 http://tomcat.apache.org/tomcat-7.0-doc/api/org/apache/catalina/filters/CsrfPreventionFilter.html

但它是线程安全的吗？

或者我们应该在我们的 spring 3 应用程序中做一个自定义保护？

Answer 1

CsrfPreventionFilter 是防止 CSRF 攻击的好方法，尽管它是 tomcat 代码库的一部分并且基于将令牌放在 URL 中。

这意味着令牌将被记录等，最好将令牌放在页面的每个表单中的隐藏字段中。

Spring security 3.2 将具有内置支持，并且该解决方案也适用于其他应用程序服务器。但是根据您的应用程序，可能不需要在 spring 级别构建自定义保护，tomcat 解决方案可以正常工作。

tomcat 过滤器是线程安全的，因为每个 http 请求都由一个线程从头到尾处理，并且令牌缓存具有同步访问。