如何防止遺留Java應用程序中的CSRF攻擊？

Question

我正在研究12歲以上的Java Web應用程序。 它遵循客戶的獨特框架，而不是任何行業標准框架！ 最近，為該應用程序生成了一個Appscan報告，根據該報告，該應用程序存在非常嚴重的安全問題，如容易出現CSRF，SQL注入等。

現在，我必須完全使用Java來實現某些功能，而無需使用任何框架，並且擺脫這種CSRF攻擊。 我做了一些谷歌，才知道我們必須在URL中添加一個臨時令牌，然后對其進行驗證。 這是唯一的方法。 我找不到很多實用的解決方案。

是否有處理這種情況的經驗？ 請幫我！

Answer 1

防止CSRF攻擊的最佳方法是向服務器提供的每個響應中添加隨機生成的令牌。 然后在服務器收到的下一個請求中檢索並檢查令牌。如果令牌不匹配，則可能存在CSRF攻擊。

由於使用的是servlet，因此可以使用servlet篩選器來實現此功能。可以在doFilter(ServletRequest request, ServletResponse response)方法中編寫CSRF令牌檢查功能。

通常，使用諸如Spring Security之類的安全框架可以解決與CSRF攻擊相關的威脅。