腳本之家服務器常用軟件

快捷導航

SpringBoot傳統(tǒng)WEB應用開啟CSRF的流程

更新時間：2026年01月04日 08:48:03 作者：張占嶺

CSRF是一種Web安全漏洞,攻擊者利用受害者合法會話誘使執(zhí)行非本意操作,文章介紹了CSRF的攻擊原理、適用禁用場景以及Spring Security和Django中的禁用示例,同時,對比了不同CSRF保護機制的工作原理和適用場景,感興趣的朋友跟隨小編一起看看吧

CSRF 是什么？

CSRF（Cross-Site Request Forgery，跨站請求偽造） 是一種常見的Web安全漏洞。攻擊者利用受害者已經(jīng)登錄的合法會話，誘使受害者執(zhí)行非本意的操作。

簡單比喻：

想象你在咖啡店會員卡里有錢，你每次消費只需要說“用會員卡支付”。攻擊者偽裝成服務員，在你面前說“用會員卡轉賬100元到XXX賬戶”。因為你已經(jīng)在咖啡店的系統(tǒng)中“登錄”了（身份已認證），系統(tǒng)就會執(zhí)行這個操作。

CSRF攻擊原理：

攻擊流程：

用戶登錄：用戶登錄正常的網(wǎng)站A（如銀行網(wǎng)站），獲得登錄憑證（Cookie/Session）
用戶訪問惡意網(wǎng)站：用戶在同一個瀏覽器中訪問了攻擊者的網(wǎng)站B
惡意請求：網(wǎng)站B通過隱藏表單、圖片src、AJAX等方式，向網(wǎng)站A發(fā)送請求
自動攜帶憑證：瀏覽器會自動攜帶網(wǎng)站A的Cookie
網(wǎng)站A執(zhí)行請求：網(wǎng)站A看到合法Cookie，誤以為是用戶的自愿操作

攻擊示例：

<!-- 惡意網(wǎng)站上的代碼 -->
<img src="https://your-bank.com/transfer?to=hacker&amount=10000" width="0" height="0" />
<!-- 或隱藏表單 -->
<form action="https://your-bank.com/change-email" method="POST">
  <input type="hidden" name="email" value="hacker@evil.com">
</form>
<script>document.forms[0].submit();</script>

為什么有時要禁用CSRF保護？

適用禁用場景：

純API服務（無瀏覽器交互）

# 移動App通過API訪問后端
# 使用Token認證（JWT/OAuth），而不是Session
Authorization: Bearer eyJhbGciOiJIUzI1NiIs...

僅提供非狀態(tài)改變的操作

GET /api/users          # 只讀操作，通常不需要CSRF
POST /api/transfer      # 寫操作，需要CSRF

微服務內部通信

# 服務間調用使用服務憑證，而不是用戶會話
service-to-service: true

某些特殊框架/場景

// GraphQL通常使用token而不是session
// 或某些實時通信應用

具體框架中的禁用示例：

Spring Security：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()  // 禁用CSRF
            .authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .httpBasic();  // 使用HTTP Basic認證
    }
}

Django：

# settings.py
CSRF_COOKIE_SECURE = False  # 禁用CSRF
# 或針對特定視圖
from django.views.decorators.csrf import csrf_exempt
@csrf_exempt
def api_view(request):
    pass

CSRF保護機制對比：

保護機制	工作原理	適用場景
CSRF Token	服務器生成Token，表單/請求必須攜帶	傳統(tǒng)Web應用
SameSite Cookie	Cookie僅在同站請求中發(fā)送	現(xiàn)代瀏覽器支持
雙重Cookie驗證	客戶端讀取Cookie并附加到請求	兼容性較好
Referer檢查	檢查請求來源	簡單但不可靠
無（禁用）	不驗證	純API、內部服務

何時應該啟用/禁用CSRF？

應該啟用CSRF的場景：

? 傳統(tǒng)的基于Session的Web應用
? 用戶通過瀏覽器訪問的表單提交
? 需要用戶交互的操作（轉賬、修改數(shù)據(jù)）
? 使用Cookie/Session進行身份認證

可以禁用CSRF的場景：

? 純REST API，使用JWT/OAuth Token認證
? 僅限移動App訪問的后端服務
? 微服務間的內部通信
? 只讀的公共API
? 使用其他認證方式（API Key、HMAC簽名）

禁用CSRF后的替代安全方案：

# 替代方案示例：
1. JWT Token認證:
   每次請求攜帶: Authorization: Bearer <token>
2. API Key + Secret:
   請求簽名: X-Signature: sha256(api_secret + request_data)
3. OAuth 2.0:
   使用Access Token進行授權
4. CORS限制:
   Access-Control-Allow-Origin: https://trusted-domain.com
5. Rate Limiting:
   限制請求頻率防止濫用

最佳實踐建議：

// 在Spring中，可以針對不同端點配置不同的CSRF策略
public class SecurityConfig {
    protected void configure(HttpSecurity http) {
        http
            // 對Web頁面啟用CSRF
            .csrf(csrf -> csrf
                .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
                .csrfTokenRequestHandler(new CsrfTokenRequestAttributeHandler())
            )
                .requireCsrfProtectionMatcher(
                    new RequestMatcher() {
                        public boolean matches(HttpServletRequest request) {
                            // 僅對特定路徑啟用CSRF
                            return request.getRequestURI().startsWith("/web/");
                        }
                    })
            .and()
            // API端點使用無狀態(tài)認證
            .authorizeRequests()
                .antMatchers("/api/**").authenticated()
                .and()
            .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS); // API無狀態(tài)
    }
}

驗證 CSRF 是否生效

檢查 Cookie：登錄后查看瀏覽器是否有 XSRF-TOKEN Cookie
測試請求：
- 直接發(fā)送 POST 請求應該被拒絕（403 錯誤）
- 攜帶正確的 CSRF Token 的請求應該成功
檢查響應頭：某些配置下，響應頭會包含 CSRF Token

# 使用 curl 測試
# 1. 先獲取 CSRF Token（從登錄后的 Cookie 或響應頭）
# 2. 發(fā)送帶 CSRF Token 的請求
curl -X POST http://localhost:8080/api/test \
  -H "Content-Type: application/json" \
  -H "X-XSRF-TOKEN: YOUR_CSRF_TOKEN" \
  -H "Cookie: XSRF-TOKEN=YOUR_CSRF_TOKEN" \
  -d '{"data": "test"}'

總結：

禁用CSRF的前提條件：

應用不使用Cookie/Session進行身份認證
請求來源可控（如僅限移動App、內部服務）
已實施同等或更強的安全措施替代
確認攻擊面不會因此擴大

黃金法則：

如果用戶通過瀏覽器訪問你的網(wǎng)站，并且網(wǎng)站使用了Cookie/Session，那么永遠不要禁用CSRF保護。只有在完全理解風險并有替代方案時，才考慮為API服務禁用CSRF。

到此這篇關于springboot~傳統(tǒng)WEB應用開啟CSRF的文章就介紹到這了,更多相關java多線程內容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！

您可能感興趣的文章:

最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线

SpringBoot傳統(tǒng)WEB應用開啟CSRF的流程

目錄

CSRF 是什么？

簡單比喻：

CSRF攻擊原理：

攻擊流程：

攻擊示例：

為什么有時要禁用CSRF保護？

適用禁用場景：

具體框架中的禁用示例：

CSRF保護機制對比：

何時應該啟用/禁用CSRF？

應該啟用CSRF的場景：

可以禁用CSRF的場景：

禁用CSRF后的替代安全方案：

最佳實踐建議：

驗證 CSRF 是否生效

總結：

相關文章

最新評論

大家感興趣的內容

最近更新的內容

常用在線小工具

最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线

SpringBoot傳統(tǒng)WEB應用開啟CSRF的流程

目錄

CSRF 是什么？

簡單比喻：

CSRF攻擊原理：

攻擊流程：

攻擊示例：

為什么有時要禁用CSRF保護？

適用禁用場景：

具體框架中的禁用示例：

CSRF保護機制對比：

何時應該啟用/禁用CSRF？

應該啟用CSRF的場景：

可以禁用CSRF的場景：

禁用CSRF后的替代安全方案：

最佳實踐建議：

驗證 CSRF 是否生效

總結：

相關文章

最新評論

大家感興趣的內容

最近更新的內容

常用在線小工具

為什么有時要禁用CSRF保護？

何時應該啟用/禁用CSRF？