Tomcat 7 中 CSRFPreventionFilter 的使用

环境

• JBoss 网络服务器 3.1
  • 雄猫 7.0.70

问题

• Tomcat 7 中 CSRFPreventionFilter 的使用

解析度

• CSRFPreventionFilter 在 JWS 3 Tomcat 7 中可用。它可以在 web.xml 中启用，如下所示：

生的

<filter>
    <filter-name>CSRFPreventionFilter</filter-name>
    <filter-class>org.apache.catalina.filters.CsrfPreventionFilter</filter-class>
    <init-param>
        <param-name>entryPoints</param-name>
        <param-value>/index.jsp,/loginpage,/homepage</param-value>
    </init-param>
</filter>

<filter-mapping>
    <filter-name>CSRFPreventionFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

• 自定义 entryPoints 并将其设置为一个逗号分隔的 URL 列表，这些 URL 不会被测试是否存在有效的 nonce。
• 它们用于提供一种方法来首次导航到受保护的应用程序，或者在导航离开后返回到该应用程序。
• 入口点将仅限于 HTTP GET 请求，不应触发任何安全敏感操作。
• 这是设置客户在开始使用应用程序时首先访问的一些典型页面的最佳方式。