java拦截csrf攻击,在SpringMVC中使用拦截器（interceptor）拦截CSRF攻击

(1)登录页面：

从上面的代码可知，为了防止CSRF攻击，因此在form表单里添加了一个隐藏字段“_csrf”，其值是生成的一个随机小数

(2)在SpringMVC的配置文件中添加拦截器：

从上面的代码知道，在这个文件中添加了一个 mvc:interceptors 标签，表示一系列的拦截器集合，然后下面定义了对登录时form表单提交地址“/check.html”进行拦截。下面一行的bean属性就是定义了自定义拦截器的类所在的路径

注：后面那个拦截器这里不用管，我在写后面的文章时才会用到

(3)自定义拦截器LoginInterceptor：

这个自定义拦截器的逻辑很简单，就是把form表单隐藏域“_csrf”中的值和session中的“_csrf”值进行比较。如果二者相同，则说明该请求是从前台form表单中传进来的，而不是其他网站的伪造请求(PS：因为这种方式没法向session中定义“_csrf”参数)；同时也防止form表单的重复提交(PS：因为第一次验证过后session中的“_csrf”就已经被移除了，除非前台刷新页面才会重新生成)，避免了爆破撞库等安全隐患。当然，为了进一步降低安全隐患，这里的form表单还应该添加复杂的动态验证码。我这里是由于为了让示例更简洁，因此就把这一步给省略了

(4)验证：

第一次提交表单，发现可以正常到达后台进行验证

第二次点击浏览器的“返回键”，返回到表单页面之后重复提交，可以发现直接被拦截了。效果如下：

本文转自 pangfc 51CTO博客，原文链接：http://blog.51cto.com/983836259/1877586，如需转载请自行联系原作者