웹 사이트의 POST 요청에서 CSRF를 방지하는 것

Question

CSRF 공격을 막기 위해 webapp (태그 라이브러리가없는 JSP)를 제외해야합니다. 여기에 설명과 같은 알고리즘을 사용할 수는 없지만 nonce id가 나를위한 최상의 솔루션이라고 생각합니다. https://tomcat.apache.org/tomcat-8.0-doc/config/filter.html#CSRF_Prevention_Filter_for_REST_APIs 모든 호출 요청을 변경해야하므로이 인수를 적용하십시오. 매우 비쌉니다. 모든 게시 및 강제 클라이언트에 대해 get을 추가하십시오. 두 번째 호출을 할), 그래서 정적 포함 가져 오기를 사용하여 모든 내 JSP에 입력 된 숨겨진 된 텍스트 상자를 추가하기로 결정하고 일치하는 세션 Nonce ID 및 nonce ID를 요청하는 Java 필터. 그것은 내 솔루션 좋은 연습 알고리즘 알고리즘을 대체 할 수 있습니까? 나쁜 영어로 죄송합니다.

Thanks!

로비의

Answer 1

귀하의 접근 방식은 몇 가지 보호 기능을 제공하는 팟 보안 문자를,이라고하지만, 안전에 종료되지 않습니다. 이 방법을 사용하면 사용자가 귀하의 HTML을 편집하고 사이트를 쉽게 해킹 할 수있게됩니다. 또한, 나는 무엇이 보내지고 있는지를 볼 수 있고 당신에게 요청을 보낼 내 자신의 프로그램을 작성할 수 있습니다. 아니요,이 방법은 독자적인 방법이 아닙니다. 실제 보호 기능을 함께 사용하면 나쁜 것은 아닙니다.