跨站点请求伪造解决方案

近期通过APPScan扫描程序，发现了不少安全问题，通过大量查阅和尝试最终还是解决掉了，于是整理了一下方便查阅。

前一篇博客介绍了启用了不安全的HTTP方法的解决方案，有兴趣请移步启用了不安全的HTTP方法解决方案。

1.跨站点请求伪造

首先，什么是跨站点请求伪造？

跨站点请求伪造-CSRF（Cross Site Request Forgery）：是一种网络攻击方式。

说的白话一点就是，别的站点伪造你的请求，最可怕的是你还没有察觉并且接收了。听起来确实比较危险，下面有个经典的实例，了解一下跨站点请求伪造到底是怎么是实现的，知己知彼。

受害者：Bob
黑客：Mal
银行：bank
bob在银行有一笔存款，可以通过请求http://bank.example/withdraw?account=bob&amount=1000000&for=bob2把钱转到bob2下。通常情况下，该请求到达网站后，服务器会验证请求是否来自一个合法的session，并且该session的用户Bob已登录。Mal在该银行也有账户，于是他伪造了一个地址http://bank.example/withdraw?account=bob&amount=1000000&for=mal，但是如果直接访问，服务器肯定会识别出当前登录用户是mal而不是Bob，不能接受请求。于是通过CSRF攻击方式，将此链接伪造在广告下，诱使Bob自己点这个链接，那么请求就会携带Bob浏览起的cookie一起发送到银行，而Bob同时又登录了银行或者刚刚登录不久session还没有过期，那服务器发现cookie中有Bob的登录信息，就接收了响应，攻击就成功了

2.现在主要的几种防御CSRF的策略：

1. 验证Referer：

referer携带请求来源，从示例可以看出，受害者发送非法请求肯定不是在银行的界面，所以在服务器通过验证Referer是不是bank.example开始就可以了，这个方法简单粗暴。

最简单的实现就是加个Filter：