DocumentationAEM 6.4Guide de développement

Le framework de protection CSRF the-csrf-protection-framework

Last update: Thu May 04 2023 00:00:00 GMT+0000 (Coordinated Universal Time)

Créé pour :

  • Developer
CAUTION
AEM 6.4 a atteint la fin de la prise en charge étendue et cette documentation n’est plus mise à jour. Pour plus d’informations, voir notre période de support technique. Rechercher les versions prises en charge here.

Outre le filtre de référent Apache Sling, Adobe fournit également un nouveau framework de protection CSRF pour se protéger contre ce type d’attaque.

Le framework utilise des jetons pour garantir que la demande du client est légitime. Les jetons sont générés lorsque le formulaire est envoyé au client et validé lorsque le formulaire est renvoyé au serveur.

NOTE
Il n’y a aucun jeton sur les instances de publication pour les utilisateurs anonymes.

Conditions requises requirements

Dépendances dependencies

Tout composant associé à la dépendance granite.jquery bénéficie automatiquement du framework de protection CSRF. Si ce n’est pas le cas pour l’un de vos composants, vous devez déclarer une dépendance à granite.csrf.standalone avant de pouvoir utiliser le framework.

Réplication de la clé de chiffrement replicating-crypto-keys

Pour utiliser les jetons, vous devez répliquer le binaire /etc/keys/hmac sur toutes les instances de votre déploiement. Un moyen pratique de copier la clé HMAC sur toutes les instances consiste à créer un package contenant la clé et à l’installer via le gestionnaire de packages sur toutes les instances.

NOTE
Assurez-vous également d’effectuer les modifications de configuration du Dispatcher nécessaires pour utiliser le framework de protection CSRF.
NOTE
Si vous utilisez le cache de manifeste avec votre application Web, veillez à ajouter «  *  » au manifeste afin de vous assurer que le jeton ne prend pas l’appel de génération de jeton CSRF hors ligne. Pour plus d’informations, consultez ce lien.
Pour plus d’informations sur les attaques CSRF et les moyens de s’en protéger, consultez la page Cross-Site Request Forgery OWASP.
recommendation-more-help
2315f3f5-cb4a-4530-9999-30c8319c520e