Struts2 过滤CSRF攻击的一种解决方案

CSRF（Cross-site request forgery跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站?的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。

它的防御方案包括如下四种：

1.检查http referer是否来自同一个域
2.限制session cookie的生命周期
3.验证码
4.使用token

在struts下自带了许多标签库
其中就有 s:token ,这个可以生成一次性token，把这个标签放在 s:form 里面可以在提交的时候自动带上token值；

<s:form action="login.action">
        <s:token name="token"></s:token>
        <s:fielderror name="errorInfo"></s:fielderror>