SpringSecurity框架下实现CSRF跨站攻击防御的方法_security登录成功,其他接口访问401 - CSDN文库

CSRF跨站攻击防御

1星 27 浏览量更新于2023-03-03 评论收藏 91KB PDF 举报

身份认证购VIP最低享 7 折!

领优惠券(最高得80元）

资源详情

资源评论

资源推荐

SpringSecurity框架下实现框架下实现CSRF跨站攻击防御的方法跨站攻击防御的方法

CSRF是一种网络攻击方式，也可以说是一种安全漏洞，这种安全漏洞在web开发中广泛存在。这篇文章主要介

绍了SpringSecurity框架下实现CSRF跨站攻击防御,需要的朋友可以参考下

一、什么是一、什么是CSRF

很多朋友在学习Spring Security的时候，会将CORS(跨站资源共享)和CSRF(跨站请求伪造)弄混，以为二者是一回事。其实不

是，先解释一下：

CORS(跨站资源共享)是局部打破同源策略的限制，使在一定规则下HTTP请求可以突破浏览器限制，实现跨站访问。

CSRF是一种网络攻击方式，也可以说是一种安全漏洞，这种安全漏洞在web开发中广泛存在。

当我们使用Spring Security的时候，这种CSRF漏洞默认的被防御掉了。但是你会发现在跨域请求的情况下，我们的POST、

DELETE、PUT等HTTP请求方式失效了。所以在笔者之前的文章中，我们使用http.csrf.disable()暂时关闭掉了CSRF的防御功

能，但是这样是不安全的，那么怎么样才是正确的做法呢？就是本文需要向大家介绍的内容。

二、二、CSRF的攻击方式的攻击方式

通常的CSRF攻击方式如下：

你登录了网站A，攻击者向你的网站A账户发送留言、伪造嵌入页面，带有危险操作链接。

当你在登录状态下点击了攻击者的连接，因此该链接对你网站A的账户进行了操作。

这个操作是你在网站A中主动发出的，并且也是针对网站A的HTTP链接请求，同源策略无法限制该请求。

三、如何防御三、如何防御CSRF攻击攻击

为系统中的每一个连接请求加上一个token，这个token是随机的，服务端对该token进行验证。破坏者在留言或者伪造嵌入页

面的时候，无法预先判断CSRF token的值是什么，所以当服务端校验CSRF token的时候也就无法通过。所以这种方法在一定

程度上是靠谱的。

但是如果你的电脑中毒，网络信息被劫持使用token的方法仍然不安全。所以没有绝对的安全，道高一次魔高一丈。作为开发

者，我们就做到我们应该做到的。

跳转提示：当用户不小心点击了第三方连接，合格的应用应该提示用户相关的风险！由用户自己确认是否真的要跳转或者执行

第三方连接，或者就干脆不让非可信连接在留言区等地方存在。

四、四、Spring Security的的CSRF token攻击防护攻击防护

首先，我们要先开启防护功能，在用户登陆操作之后，生成的CSRF Token就保存在cookies中。

public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

@Override

protected void configure(HttpSecurity http) throws Exception {

http.csrf()

.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())

.ignoringAntMatchers("/authentication");

.and()

本内容试读结束，登录后可阅读更多

下载后可阅读完整内容，剩余1页未读，立即下载

评论1

weixin_36736864

2020-11-16

可以哦，拿个PDF骗积分

weixin_38570296

粉丝: 5
资源: 938

会员权益专享

图片转文字

全年可省5，000元立即开通

最新资源

资源上传下载、课程学习等过程中有任何疑问或建议，欢迎提出宝贵意见哦~我们会及时处理！点击此处反馈