过滤器Filter解决跨站点伪造问题

跨站点伪造的形成原理

跨站点伪造的基本原理是客户登陆正确网站后，在同一个浏览器访问危险网站，危险网站窃取客户的cookie后携带该cookie信息访问正确网站，从而获得相应信息，结构如下图

利用过滤器解决跨站点伪造

在请求的报文头中，通常都有一个referer,当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器该网页是从哪个页面链接过来的
我们可以在过滤器中判断请求的referer开头是否与项目配置的请求开头有匹配的，从而过滤掉不被允许访问的来源。具体代码如下

@WebFilter(urlPatterns = "/*", filterName = "csrfFilter")
public class CSRFFilter implements Filter {
    private String[] verifyReferer = null;

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        Properties properties = new Properties();
        InputStream in = CSRFFilter.class.getClassLoader().getResourceAsStream("application.properties");
        try {
            properties.load(in);
        } catch (IOException e) {
            e.printStackTrace();
        }
        final String referer = properties.getProperty("csrf.urls");
        this.verifyReferer = referer.split(",");

    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest)request;
        HttpServletResponse resp = (HttpServletResponse)response;
        PrintWriter writer = null;
        boolean rflag = false;
        String referer = req.getHeader("referer");
        for(String vReferer:verifyReferer) {
            if(referer==null||referer.trim().startsWith(vReferer)) {
                rflag=true;
                break;
            }
        }
        if(!rflag) {
            System.out.println("跨站点请求伪造！！！");
            response.setCharacterEncoding("GBK");
            writer = response.getWriter();
            writer.print("跨站点请求伪造！！！");
        }

        chain.doFilter(req,resp);
    }

    @Override
    public void destroy() {

    }
}

我们在配置文件application.properties中配置允许访问来源开头，以“，”隔开如下

csrf.urls="http://10.192.168.15,http://www.wangwen12345.com"

此时，如果请求来源为http://10.192.168.15，http://www.wangwen12345.com开头的才能访问，其他网站访问则不行
如果有多个过滤器，可以使用@Order(1)加入每个Filter类开头，用来区分Filter执行顺序，值越小优先级越高

另外注意，配置文件里要配置本网站地址开头