CSRF保护框架

除了Apache Sling推荐人过滤器,Adobe还提供新的CSRF保护框架来防止此类攻击。

该框架利用令牌来保证客户端请求的合法性。 令牌在将表单发送到客户端时生成,并在表单发回到服务器时验证。

注意

匿名用户的发布实例上没有令牌。

要求

依赖关系

任何依赖granite.jquery依赖关系的组件都将自动从CSRF保护框架受益。 如果任何组件的情况不是这样,则必须先声明对granite.csrf.standalone的依赖关系,然后才能使用框架。

复制加密密钥

为了利用令牌,您需要将/etc/keys/hmac二进制文件复制到部署中的所有实例。 将HMAC密钥复制到所有实例的一种简便方法是创建一个包含密钥的包,并通过包管理器在所有实例上安装它。

注意

为了使用CSRF保护框架,还请确保进行必要的调度程序配置更改

注意

如果将清单缓存与Web应用程序一起使用,请确保向清单添加“*”,以确保令牌不使CSRF令牌生成调用脱机。 有关详细信息,请参阅此链接

有关CSRF攻击及其缓解方法的详细信息,请参阅跨站点请求伪造OWASP页面

在此页面上