CSRF保护框架

除了Apache Sling反向链接过滤器之外,Adobe还提供了新的CSRF保护框架来抵御此类攻击。

框架利用令牌来保证客户端请求的合法性。 令牌在表单发送到客户端时生成,并在表单发送回服务器时验证。

注意

匿名用户的发布实例上没有令牌。

要求

依赖项

依赖于 granite.jquery 依赖项将自动从CSRF保护框架中受益。 如果任何组件的情况并非如此,则必须声明依赖项为 granite.csrf.standalone 之后才能使用框架。

复制加密密钥

为了使用令牌,您需要复制 /etc/keys/hmac 二进制到部署中的所有实例。 将HMAC密钥复制到所有实例的一种简便方法是,创建一个包含密钥的包,并通过包管理器在所有实例上安装该密钥。

注意

请务必确保 Dispatcher配置更改 以便使用CSRF保护框架。

注意

如果将清单缓存与Web应用程序一起使用,请确保添加“*“ ”添加到清单,以确保令牌不会使CSRF令牌生成调用离线。 有关详细信息,请参阅 链接.

有关CSRF攻击及其缓解方法的更多信息,请参阅 跨站点请求伪造OWASP页.

在此页面上