SpringMVC CSRF 防御机制与安全实践 - 智猿学院-IT界的百科全书

好的，没问题！请允许我化身一位唠嗑的老码农，用我这双敲了无数代码的手，来和大家伙儿聊聊SpringMVC的CSRF防御机制，顺便分享一些我多年来的安全实践心得。

SpringMVC CSRF 防御：别让你的用户被“隔壁老王”坑了！

各位看官，咱们先来唠唠CSRF是个啥玩意儿。这玩意儿，中文名叫“跨站请求伪造”，听着挺唬人的，其实说白了，就是“隔壁老王”想冒充你的用户，干点坏事儿！

想象一下，你登录了某个银行网站，准备转账给你的女神。突然，你点开了一个“中奖”链接，结果…钱被转到“隔壁老王”的账户里了！这就是典型的CSRF攻击。

CSRF的原理：

简单来说，CSRF攻击利用了浏览器会自动发送Cookie的特性。攻击者通过构造一个恶意链接或页面，诱导用户点击，从而在用户不知情的情况下，以用户的身份发送请求到受信任的服务器。

SpringMVC的CSRF防御机制：

SpringMVC为我们提供了一套相对完善的CSRF防御机制，主要是通过Synchronizer Token Pattern来实现的。简单来说，就是服务器给每个用户的会话生成一个唯一的Token，并在每个需要保护的表单中包含这个Token。当用户提交表单时，服务器会验证表单中的Token是否与会话中的Token一致，如果一致，则允许提交，否则拒绝。

实现步骤：

添加依赖：

首先，确保你的项目中包含了Spring Security依赖，因为Spring Security提供了CSRF的支持。

<!-- Maven -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.8.4</version> <!-- 使用最新版本 -->
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>5.8.4</version> <!-- 使用最新版本 -->
</dependency>

// Gradle
implementation 'org.springframework.security:spring-security-web:5.8.4'
implementation 'org.springframework.security:spring-security-config:5.8.4'

启用CSRF保护：

在Spring Security的配置类中，启用CSRF保护。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf() // 启用CSRF保护
            .and()
            .authorizeHttpRequests()
            .anyRequest().permitAll(); // 允许所有请求，实际项目中需要根据需求配置
        return http.build();
    }
}

这段代码的关键在于.csrf()，它启用了Spring Security的CSRF保护。

在表单中包含CSRF Token：

在需要保护的表单中，添加一个隐藏的输入字段，用于包含CSRF Token。SpringMVC会自动将CSRF Token添加到ModelAndView中，你只需要在JSP或Thymeleaf等模板引擎中使用它。

JSP示例：

<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>
<%@ taglib prefix="form" uri="http://www.springframework.org/tags/form" %>
<html>
<head>
    <title>CSRF Example</title>
</head>
<body>
    <h1>Transfer Money</h1>
    <form:form method="POST" action="/transfer">
        <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
        <label for="amount">Amount:</label>
        <input type="text" id="amount" name="amount"/><br/><br/>
        <button type="submit">Transfer</button>
    </form:form>
</body>
</html>

Thymeleaf示例：

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>CSRF Example</title>
</head>
<body>
    <h1>Transfer Money</h1>
    <form th:action="@{/transfer}" method="post">
        <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>
        <label for="amount">Amount:</label>
        <input type="text" id="amount" name="amount"/><br/><br/>
        <button type="submit">Transfer</button>
    </form>
</body>
</html>

关键点：

${_csrf.parameterName}：表示CSRF Token的参数名，Spring Security默认是_csrf。
${_csrf.token}：表示CSRF Token的值。

处理请求：

在Controller中，接收表单提交的请求。Spring Security会自动验证CSRF Token，如果验证失败，会抛出一个org.springframework.security.web.csrf.InvalidCsrfTokenException异常。

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestParam;

@Controller
public class TransferController {

    @PostMapping("/transfer")
    public String transfer(@RequestParam("amount") Double amount) {
        // 处理转账逻辑
        System.out.println("Transferring amount: " + amount);
        return "success"; // 返回成功页面
    }
}

CSRF防御的增强实践：

仅仅启用Spring Security的CSRF保护还不够，我们还需要采取一些额外的措施，来增强CSRF防御的效果。

验证Referer和Origin Header：

除了CSRF Token，还可以验证HTTP请求的Referer和Origin Header。Referer Header包含了请求的来源页面，Origin Header包含了请求的来源域名。虽然这两个Header可以被篡改，但仍然可以作为一种额外的安全措施。

Referer Header: 指示请求是从哪个页面发起的。
Origin Header: 指示请求的来源域名。

可以通过配置Spring Security的HttpSecurity来添加自定义的过滤器，进行Referer和Origin Header的验证。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.csrf.CsrfFilter;
import org.springframework.web.filter.OncePerRequestFilter;

import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf()
            .and()
            .addFilterAfter(new RefererAndOriginFilter(), CsrfFilter.class) // 添加自定义过滤器
            .authorizeHttpRequests()
            .anyRequest().permitAll();

        return http.build();
    }

    // 自定义过滤器
    private static class RefererAndOriginFilter extends OncePerRequestFilter {
        @Override
        protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
            String referer = request.getHeader("Referer");
            String origin = request.getHeader("Origin");

            // 这里可以根据你的需求进行验证
            // 例如，验证Referer和Origin是否与你的域名一致
            if (referer != null && !referer.startsWith("https://yourdomain.com")) {
                response.setStatus(HttpServletResponse.SC_FORBIDDEN);
                return;
            }
            if (origin != null && !origin.equals("https://yourdomain.com")) {
                response.setStatus(HttpServletResponse.SC_FORBIDDEN);
                return;
            }

            filterChain.doFilter(request, response);
        }
    }
}

注意： 在实际项目中，请将https://yourdomain.com替换为你的实际域名。

使用双重提交Cookie模式 (Double Submit Cookie)：

这种模式不需要服务器端存储CSRF Token，而是将Token同时放在Cookie和请求参数中。服务器验证Cookie中的Token和请求参数中的Token是否一致。

实现步骤：

在用户登录成功后，生成一个随机的Token，并将其设置到Cookie中。
在需要保护的表单中，添加一个隐藏的输入字段，并将Token的值也设置到这个字段中。
当用户提交表单时，服务器验证Cookie中的Token和请求参数中的Token是否一致。

虽然这种模式实现简单，但存在一些安全风险，例如，如果网站存在XSS漏洞，攻击者可以读取Cookie中的Token。

限制Cookie的作用域：

将Cookie的作用域限制在特定的域名和路径下，可以防止Cookie被其他网站窃取。

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;

public class CookieUtil {

    public static void setCookie(HttpServletResponse response, String name, String value, String domain, String path, int maxAge) {
        Cookie cookie = new Cookie(name, value);
        cookie.setDomain(domain);
        cookie.setPath(path);
        cookie.setMaxAge(maxAge);
        cookie.setHttpOnly(true); // 防止XSS攻击
        cookie.setSecure(true);   // 只允许通过HTTPS传输
        response.addCookie(cookie);
    }
}

使用HTTPS：

使用HTTPS可以加密HTTP请求和响应，防止中间人攻击，提高安全性。

定期更换CSRF Token：

定期更换CSRF Token可以降低Token被盗用的风险。Spring Security默认会自动更换CSRF Token。

对敏感操作进行二次确认：

对于一些敏感操作，例如修改密码、转账等，可以要求用户进行二次确认，例如输入密码、短信验证码等。

一些小提示：

不要在GET请求中执行敏感操作： GET请求应该只用于获取数据，而不是修改数据。
对所有用户输入进行验证： 防止XSS攻击，避免攻击者通过XSS攻击窃取CSRF Token。
定期进行安全审计： 检查你的代码是否存在安全漏洞。

总结：

CSRF攻击是一种常见的Web安全威胁，SpringMVC提供了一套相对完善的CSRF防御机制。通过启用Spring Security的CSRF保护，并在表单中包含CSRF Token，可以有效地防止CSRF攻击。此外，还可以采取一些额外的措施，例如验证Referer和Origin Header，使用双重提交Cookie模式，限制Cookie的作用域，使用HTTPS，定期更换CSRF Token，对敏感操作进行二次确认等，来增强CSRF防御的效果。

表格总结：

防御措施	描述	优点	缺点
Spring Security CSRF保护	启用Spring Security的CSRF保护，自动生成和验证CSRF Token。	集成简单，使用方便。	需要在每个需要保护的表单中包含CSRF Token。
验证Referer和Origin Header	验证HTTP请求的Referer和Origin Header，确保请求来自受信任的域名。	可以作为一种额外的安全措施，增强CSRF防御的效果。	Referer和Origin Header可以被篡改。
双重提交Cookie模式 (Double Submit Cookie)	将CSRF Token同时放在Cookie和请求参数中，服务器验证Cookie中的Token和请求参数中的Token是否一致。	实现简单，不需要服务器端存储CSRF Token。	如果网站存在XSS漏洞，攻击者可以读取Cookie中的Token。
限制Cookie的作用域	将Cookie的作用域限制在特定的域名和路径下，防止Cookie被其他网站窃取。	可以防止Cookie被其他网站窃取。	无
使用HTTPS	使用HTTPS可以加密HTTP请求和响应，防止中间人攻击，提高安全性。	可以防止中间人攻击，提高安全性。	需要配置HTTPS证书。
定期更换CSRF Token	定期更换CSRF Token可以降低Token被盗用的风险。	可以降低Token被盗用的风险。	无
对敏感操作进行二次确认	对于一些敏感操作，例如修改密码、转账等，可以要求用户进行二次确认，例如输入密码、短信验证码等。	可以提高安全性。	用户体验可能较差。

好了，各位看官，以上就是我对SpringMVC CSRF防御机制的一些理解和实践经验。希望对大家有所帮助。记住，安全无小事，一定要重视起来！祝大家写出安全可靠的代码！溜了溜了~

发表回复 取消回复

发表回复取消回复