filter - 关于 Tomcat 7 url 编码中的 CSRF 过滤器

Question

我在一个容易受到 CSRF（跨站点请求伪造）攻击的 Web 应用程序上工作。Tomcat 7 有一个 CSRF 预防过滤器。我通过描述来配置这个过滤器。这个过滤器期望我们调用 HttpServletResponse#encodeRedirectURL(String) 或 HttpServletResponse#encodeURL(String)。

但是，我看到在我的应用程序中我们没有使用上述方法。我们使用 mapping.findForward(target); 转发响应 无需触及请求或响应对象。你能告诉我如何或在哪里可以在我的代码中集成 encodeURL() 或 encodeRedirectURL() 方法吗？

感谢您在这方面的任何帮助。

谢谢，

Answer 1

您可以编写一个 Servlet 并将所有 url (/*) 映射到 web.xml 文件中的此 servlet。现在您可以通过 HttpServletResponse 使用 encodeUrl 方法。