java - 这些 XSRF 保护是否也适用于 RequestFactory？

Question

我刚刚阅读了这篇关于 GWT RPC XSRF 保护的文章，但是我正计划编写一个利用更新的 RequestFactory 框架的 GWT 应用程序。

但是，我没有看到任何与本文等效的 RequestFactory，所以我问：如果我使用 RequestFactory，我是否需要担心上面文章中概述的攻击媒介和必要的保护/预防措施，或者我是否“免疫“？有人知道这些项目的 RequestFactory 等效项吗？提前致谢！

Answer 1

不，你不能免疫。

而且我不知道 RequestFactory 有任何等价物。您基本上会RequestTransport在客户端实现 a 并在服务器端实现 servlet 过滤器；但是您必须找到某种XsrfToken与客户端通信的方法（想到动态主机页面）。