Tomcat中的CSRF保护

Question

如何防止Tomcat中的CSRF漏洞？

我正在为我的应用程序使用Tomcat服务器，并且我需要保护我的应用程序免受CSRF攻击。有没有什么技术可以做到这一点？

Answer 1

首先雄猫;证明我错了，但我认为CSRF漏洞目前对于容器本身并不存在。

如果您担心任何其他Tomcat漏洞，我会建议订阅SecurityFocus的一些邮件列表，特别是BugTraq，并经常检查Tomcat 5 Security page。 而最重要的部分：保持你的Tomcat补丁和最新。


关于应用程序，很难告诉你如何在不知道或看到代码的情况下保护应用程序，但有一些基因实现方法可以理解，避免和测试CSRF漏洞。

另一种选择是早期采用Tomcat 7，其特征为'CSRF Prevention Filter'。还有一些人想要backport this to Tomcat 5/6。

Answer 2

Tomcat 7和Tomcat 6.0.30已经构建了CSRF保护（您需要激活它）。

http://www.tomcatexpert.com/blog/2011/05/09/cross-site-request-forgery