JSF1.2 内置了 CSRF 保护吗？
我已经使用 CSRFtester 工具测试了 JSF 应用程序，该工具没有报告任何 CSRF 问题。但我在“OWASP_Top_10_2007_for_JEE.pdf”中读到，所有 Java EE Web 应用程序框架都容易受到 CSRF 的攻击，而且有些人说我们需要为每个会话创建一个密钥并将其附加到 url 中。通过这种方式，我们可以保护我们的 JSF 应用程序免受 CSRF 攻击。这让我很困惑。我找不到任何明确的文档。 JSF 是否容易受到 CSRF 攻击？保护 JSF 应用程序免受 CSRF 攻击的正确方法是什么？请帮帮我！！
提前致谢！！
I have tested a JSF application with the CSRFtester tool, and the tool didn't report any CSRF problems. But I had read in the "OWASP_Top_10_2007_for_JEE.pdf", that all Java EE web application frameworks are vulnerable to CSRF and also some says we need to create a secret key for each session and append it to the url. By doing this way we can secure our JSF application from the CSRF attack.This makes me confused. I cannot find any clear documentation. IS JSF is vulnerable to CSRF attack? What was the right way to protect a JSF application from CSRF attacks? Please help me out!!
Thanks in Advance!!
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
是的，JSF 容易受到 CSRF 的攻击。几天前，我为 JSF 1.2 应用程序实现了 CSRF 预防令牌。
您可以使用以下内容：
Tomcat CSRF 预防过滤器 (找到来源）
另一个很棒的解决方案，可以轻松实现JSF 1.2
我使用了两者的组合。效果很好。
Yes, JSF is vulnerable to CSRF. I implemented CSRF prevention token for my JSF 1.2 application just a few days ago.
Here's what you could use:
Tomcat CSRF Prevention Filter (find the source)
Another wonderful solution, can be easily implemented on JSF 1.2
I used the combination of two. Works well.