46-互联网安全架构-Web常用攻击手段之防盗链&防止CSRF模拟请求

1. 防盗链技术底层实现原理分析

1. 防盗链技术底层实现原理
   使用http协议请求头中的referer记录请求来源。
   使用过滤器拦截请求，判断请求头中的域名referer与需要限制的域名访问是否一致，如果不一致的请款，说明可能被盗用

2. 使用过滤器实现防盗链技术

@WebFilter(filterName = "imgFilter", urlPatterns = "/imgs/*")
public class ImgFilter implements Filter {

	@Value("${domain.name}")
	private String domainName;

	public void init(FilterConfig filterConfig) throws ServletException {

	}

	public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
			throws IOException, ServletException {
		HttpServletRequest req = (HttpServletRequest) request;
		String referer = req.getHeader("Referer");
		if (StringUtils.isEmpty(referer)) {
			request.getRequestDispatcher("/imgs/error.png").forward(request, response);
			return;
		}
		//判断请求头referer域名是否和限制域名一致
		String domain = getDomain(referer);
		if (!domain.equals(domainName)) {
			request.getRequestDispatcher("/imgs/error.png").forward(request, response);
			return;
		}
		chain.doFilter(request, response);
	}

	/**
	 * 获取url对应的域名
	 *
	 * @param url
	 * @return
	 */
	public String getDomain(String url) {
		String result = "";
		int j = 0, startIndex = 0, endIndex = 0;
		for (int i = 0; i < url.length(); i++) {
			if (url.charAt(i) == '/') {
				j++;
				if (j == 2)
					startIndex = i;
				else if (j == 3)
					endIndex = i;
			}

		}
		result = url.substring(startIndex + 1, endIndex);
		return result;
	}

	public void destroy() {

	}
}

3. 什么是csrf攻击

csrf就是伪造token请求攻击

4. API接口幂等性设计方案

乐观锁、悲观锁、去重表、token机制，防止页面重复提交

5.代码实现使用令牌保证接口幂等性

客户端每次在调用接口的时候,需要在请求头中，传递令牌参数，每次令牌只能用一次。
一旦使用之后，就会被删除，这样可以有效防止重复提交。
步骤:
1.生成令牌接口
2. 接口中获取令牌验证

public class TokenUtils {

	private static Map<String, Object> tokenMap = new ConcurrentHashMap<String, Object>();

	// 获取token
	public static synchronized String getToken() {
		// 1.生成令牌
		String token = "token-" + System.currentTimeMillis();
		// 2.存入tokenMap
		tokenMap.put(token, token);
		return token;
	}

	// 验证token,并且删除对应的token
	public static Boolean exisToken(String token) {
		// 1.从集合中获取token
		Object result = tokenMap.get(token);
		if (result == null) {
			return false;
		}
		// 2.删除对应的token
		tokenMap.remove(token);
		return true;
	}
}

@RestController
public class OrderController {

	@Autowired
	private OrderMapper orderMapper;

	// 获取Token
	@RequestMapping("/getToken")
	public String getToken() {
		return TokenUtils.getToken();
	}

	// 验证Token
	@RequestMapping(value = "/addOrder", produces = "application/json; charset=utf-8")
	public String addOrder(@RequestBody OrderEntity orderEntity, HttpServletRequest request) {
		String token = request.getHeader("token");
		if (StringUtils.isEmpty(token)) {
			return "参数错误!";
		}
		if (!TokenUtils.exisToken(token)) {
			return "请勿重复提交!";
		}
		int result = orderMapper.addOrder(orderEntity);
		return result > 0 ? "添加成功" : "添加失败" + "";
	}

}

6.如何防止token伪造请求

如何防止伪造token请求，在互联网电商项目中，会话信息使用令牌方式保存
在互联网没有绝对防止不能抓包分析到令牌
但是可以使用在调用接口的时候，确认是本人操作
使用短信验证码或者图像识别方式。在核心接口上，一定是本人在操作，比如修改密码，支付下单，转账等核心业务