跨站请求伪造 CSRF / XSRF<二：应用>

防御的方法主要有两种<java示例>

1.检查Referer字段

　　HTTP头中有一个Referer字段，这个字段用以标明请求来源于哪个地址。在处理敏感数据请求时，通常来说，Referer字段应和请求的地址位于同一域名下。以上文银行操作为例，Referer字段地址通常应该是转账按钮所在的网页地址，应该也位于www.examplebank.com之下。而如果是CSRF攻击传来的请求，Referer字段会是包含恶意网址的地址，不会位于www.examplebank.com之下，这时候服务器就能识别出恶意的访问。

　　这种办法简单易行，工作量低，仅需要在关键访问处增加一步校验。

　　***但这种办法也有其局限性，因其完全依赖浏览器发送正确的Referer字段。虽然http协议对此字段的内容有明确的规定，但并无法保证来访的浏览器的具体实现，亦无法保证浏览器没有安全漏洞影响到此字段。并且也存在攻击者攻击某些浏览器，篡改其Referer字段的可能。

检查Referer字段如下：

    @Override

    public void doFilter(ServletRequest servletrequest,

            ServletResponse servletresponse, FilterChain filterchain)

            throws IOException, ServletException {

        HttpServletRequest httpReq = (HttpServletRequest)servletrequest;

        HttpServletResponse httpResp = (HttpServletResponse)servletresponse;

        String path = httpReq.getContextPath();

        String basePath = servletrequest.getScheme() + "://" + servletrequest.getServerName()

                + ":" + servletrequest.getServerPort() + path + "/";

        // 防CSRF 之：HTTP 头设置 Referer过滤

        String referer = httpReq.getHeader("Referer"); // REFRESH

        if (referer != null && referer.indexOf(basePath) < 0) { //***

            //判断为不安全的访问

            String ctxPath = httpReq.getContextPath();

            httpResp.sendRedirect(ctxPath+"/common/goNoSecurity.do");

            return;

        }

        filterchain.doFilter(servletrequest, httpResp);

    }

2.添加校验token

　　由于CSRF的本质在于攻击者欺骗用户去访问自己设置的地址，所以如果要求在访问敏感数据请求时，要求用户浏览器提供不保存在cookie中，并且攻击者无法伪造的数据作为校验，那么攻击者就无法再执行CSRF攻击。这种数据通常是表单中的一个数据项。服务器将其生成并附加在表单中，其内容是一个伪乱数。当客户端通过表单提交请求时，这个伪乱数也一并提交上去以供校验。正常的访问时，客户端浏览器能够正确得到并传回这个伪乱数，而通过CSRF传来的欺骗性攻击中，攻击者无从事先得知这个伪乱数的值，服务器端就会因为校验token的值为空或者错误，拒绝这个可疑请求。

　　token的校验规则：

　　a. 账户登录时产生一个token字段，且将token传入session中；

　　b.前端发送请求时，利用jsp中的session对象获取到token，一并传到后台；

　　c.在过滤器中校验请求中的token参数和session中的token参数是否一致；

　　d.如果一致，则通过；不一致则跳转到不安全页面。

代码如下：