java 防止ajax重复提交,防止重复登录请求

过页头生成Token,进行请求验证,解决Ajax请求安全问题。目前为止我做的最多的防止ajax请求攻击的就是添加验证码、添加随机Token,限制同一请求在规定时间内的最大请求数。

下面重点说说添加随机Token限制：

token是为了防止表单重复提交，token 原理大致为：

1：显示表单的那个 action 中使用 createToken() 生成一个随机的 token值，并存放在服务端(session或者cache中)，并且传递一份到页面中

2：表单页面使用一个隐藏表单域获取后端传过来的 token值，该表单页面提交时会将此 token 值一同提交到后端

3：在表单页面提交到的 actioin 中使用 validateToken() 将服务端与表单隐藏域中的 token 值进行对比，如果服务端存在 token值并且与表单提交过来的值相等，证明是第一次提交。

4：每次校验过后服务端的 token 值会立即被清除，所以当用户重复提交时，后面的提交校验都再也无法通过。从而实现了防止重复提交的功能，validateToken 是在 synchronized 块中执行的保障了多线程下的安全性。

token 会优先存入 me.setTokenCache(ITokenCache) 指定的 TokenCache 中，如果未指定则默认使用 session 来存放

但是这种机制是有问题的，比如我是用ajax提交表单，提交完成以后表单页面并不刷新，然后我修改了部分数据以后再次提交页面，那么token还是之前的那个token，后台会以为这个为重复提交不能通过校验，那么请求就不能完成，数据无法得到正确的处理。我认为合理的机制应该是这样的：

1：显示表单的那个 action 中使用 createToken() 生成一个随机的 token值，并且传递一份到页面中

2：表单页面使用一个隐藏表单域获取后端传过来的 token值，该表单页面提交时会将此 token 值一同提交到后端

3：将提交过来的token值放入session或者cache中，然后执行controller中的代码，代码全部执行完以后，再把存入session或cache中的token值删除掉；验证用户是否为重复提交只需要验证提交过来的token是否存在于session或cache中，有则为重复提交，无则为正常提交。

4：该逻辑应该可以写成一个Interceptor,在需要的地方加上，或者直接设为全局拦截器都是可以的，简单，快捷；

posted on 2015-12-03 16:03 奋斗成就男人 阅读(335) 评论(0)  编辑  收藏