Mùa xuân 3.1 MVC, Bảo mật mùa xuân 3.1 - Mã thông báo CSRF

Question

Hiện tại tôi đang tìm kiếm khả năng bao gồm mã thông báo CRSF trong biểu mẫu Spring MVC và Spring Security. Giải pháp đơn giản nhất bao gồm các servlet (Spring Security + Spring MVC) và cho phép hiển thị và đánh giá các thẻ CSRF là gì?

Tôi ngạc nhiên rằng cơ chế cơ bản này không có sẵn trong ngăn xếp Springs. (mà tôi xem xét cơ bản cho mọi khung ứng dụng web)

PS: Tôi đã xem xét HDIV nhưng không thể tìm thấy giải pháp để sử dụng nó với Spring Security. (ví dụ: biểu mẫu đăng nhập được Spring MVC trả về và yêu cầu đăng nhập được Spring Security xử lý)

Answer 1

Xuân 3.1 giới thiệu một giao diện mới có tên RequestDataValueProcessor. Sử dụng giao diện này, bạn có thể dễ dàng (và tự động - mà không có bất kỳ thay đổi nào đối với JSP hoặc bộ điều khiển!) Đăng ký mã thông báo CSRF tới các biểu mẫu HTTP. Bạn có thể thấy một ví dụ chi tiết trong here, nó cũng đề cập đến mã mẫu trên github (vì vậy bạn chỉ có thể lấy nó từ đó và sử dụng nó trong ứng dụng của bạn).

Answer 2

CẬP NHẬT (tháng 1 năm 2014): Spring Security 3.2 có triển khai CSRF-Token.

---

Đối với Xuân An < = 3.1:

Vì CSRF đã lưu ý để làm với mùa xuân bảo mật của (Authentication & Authorization) cả hai có thể được thực hiện độc lập với nhau.

Có một số triển khai CRSF dựa trên Bộ lọc. Ví dụ có một chiếc được vận chuyển với Tomcat 7, và Tomcat 6.0.something

Khi tôi cố gắng sử dụng chúng (vào mùa hè 2011), tôi không cảm thấy nó hoạt động tốt. Vì vậy, tôi đã tự thực hiện.

EDIT (April 2012): Thực hiện tôi làm việc với Spring 3.0, nếu bạn đang sử dụng Spring 3.1, sau đó có một cái nhìn tại Eyal Lupu's answer và ông Blog nó sử dụng một số mùa xuân 3,1 tính năng để xử lý bộ lọc được dễ dàng hơn.

Tôi chưa công bố công khai cho đến bây giờ (không có thời gian). Nhưng bạn sẽ. Bạn có thể tải nó (đây là lần đầu tiên tôi sử dụng 4shared.com, tôi hy vọng nó hoạt động):

• source jar
• binary jar

Hạn chế thực hiện của tôi là, những gì bạn cần để thêm mã thông báo rõ ràng vào mọi biểu mẫu gửi POST, DELETE, PUT.

JSP (x):

xmlns:crsf="http://www.humanfork.de/tags/de/humanfork/security/crsf" 
... 
<form ...> 
    <crsf:hiddenCrsfNonce/> 
    .... 
</form> 

web.xml

<filter> 
    <filter-name>IdempotentCrsfPreventionFilter</filter-name> 
    <filter-class>de.humanfork.security.crsf.IdempotentCsrfPreventionFilter</filter-class> 
</filter> 

<filter-mapping> 
    <filter-name>IdempotentCrsfPreventionFilter</filter-name> 
    <url-pattern>/*</url-pattern> 
</filter-mapping> 

Answer 3

Với bảo mật mùa xuân 3.2.0.RC1 có chức năng bảo vệ CSRF. Ngoài ra còn có một giải pháp cho các yêu cầu AJAX được bao gồm.

Xem http://www.springsource.org/node/22675 và http://spring.io/blog/2013/08/21/spring-security-3-2-0-rc1-highlights-csrf-protection/