csrf攻击 java_java网页程序采用 spring 防止 csrf 攻击 转

银行项目开发过程中，基本都会采用 spring 框架，所以完全可以不用自己开发 filter 去拦截 csrf 攻击的请求，而直接采用实现 spring 提供的 HandlerInterceptor 来实现。 从本质上来说，这也是一个 filter.  我这里就直接实现它来 防止 csrf 攻击.

基本思路：

1. 用户登录之后，后台程序生产一个 csrftoken 的 token ,放在 cookies 中，并且记录在 session

中。

2. 当客户端发出请求的访问后台程序的时候，经过自己实现的HandlerInterceptor 来拦截.

3.

拦截的基本方法是检查请求的参数中是否有csrftoken ,并检查这个值，是否合法有效(不为空，并且得到的参数等于cookies

中保存的值，而且还要等于session 中的值，那么就是合法的)

package com.yihaomen.intercepter;

import

javax.servlet.http.Cookie;

import

javax.servlet.http.HttpServletRequest;

import

javax.servlet.http.HttpServletResponse;

import

org.springframework.web.servlet.HandlerInterceptor;

import

org.springframework.web.servlet.ModelAndView;

public class

CsrfIntercepter implements HandlerInterceptor {

public  static final

String CSRFNUMBER = "csrftoken";

public boolean

preHandle(HttpServletRequest request,HttpServletResponse response, Object

handler) throws Exception {

String keyFromRequestParam =

(String) request.getParameter(CSRFNUMBER);

String keyFromCookies="";

boolean result=false;

Cookie[] cookies =

request.getCookies();

if(cookies!=null){

for (int i =

0; i < cookies.length; i++) {

String name =

cookies[i].getName();

if(CSRFNUMBER.equals(name) )

{

keyFromCookies=

cookies[i].getValue();

}

}

}

if((keyFromRequestParam!=null

&& keyFromRequestParam.length()>0 &&

keyFromRequestParam.equals(keyFromCookies)

&&

keyFromRequestParam.equals((String)request.getSession().getAttribute(CSRFNUMBER))))

{

result=true;

}else{

request.getRequestDispatcher("/error/400").forward(request,

response);

}

return

result;

}

public void afterCompletion(HttpServletRequest

arg0, HttpServletResponse arg1,

Object arg2, Exception arg3)

throws Exception {

}

public void

postHandle(HttpServletRequest arg0, HttpServletResponse

arg1,

Object arg2, ModelAndView arg3) throws Exception

{

}

}