CSRF Guard-如何在服务器端验证生成的令牌

Question

我是Web安全的新手，我正在尝试在Web应用程序上实现CSRF Gaurd 。

我已经在Web应用程序上完成了所有必需的配置，并且可以看到在执行ajax调用或html页面时生成/注入了令牌（ FWJY-N767-M4HG-DHXT-WCE4-5J08-MV4G-LNV4 ）负载。 我注意到每个请求的令牌都是相同的。

但是，我无法在服务器端验证令牌。 根据我的研究，它应该转到CsrfGuardFilter.java类并验证令牌，但是在调试时，我可以看到它不会转到CsrfGuardFilter.java类，并且不会基于令牌验证请求。 我也收到不包含令牌的请求的响应。

有人可以指导我在我的Web应用程序上正确实现CSRF Guard。 谢谢你的帮助。

Answer 1

在我的Web应用程序中，在各种论坛上进行了一些研究之后，我正在使用GWT生成前端JavaScript，我发现由于GWT生成的JavaScript代码令牌没有注入到任何ajax调用中。 因此，要对GWT代码实施CSRF保护，我需要在* .nocache.js脚本之前注入csrf保护脚本。

有用的链接

Answer 2

您必须在正确位置的web.xml中声明CsrfGuardFilter，CsrfGuardServletContextListener和CsrGuardGuardHttpSessionListener。 在我的应用程序中，我将其放置在创建会话之后。 另外，您必须为JavaScriptServlet定义映射。

注意：我在应用程序中使用了owasp csrfguard 3.1.0，并且只需要为上述组件定义映射。 对于较旧的版本，您可能必须定义更多的属性/组件。

我从以下示例中获得了实现的帮助： https : //github.com/aramrami/OWASP-CSRFGuard

希望您能解决您的问题，而我的回答会在将来对您有所帮助。