服务器之家：专注于VPS、云服务器配置技术及软件下载分享
分类导航

PHP教程|ASP.NET教程|Java教程|ASP教程|编程技术|正则表达式|C/C++|IOS|C#|Swift|Android|VB|R语言|JavaScript|易语言|vb.net|

服务器之家 - 编程语言 - Java教程 - SpringBoot 防御 CSRF 攻击的流程及原理解析

SpringBoot 防御 CSRF 攻击的流程及原理解析

2023-05-05 16:46mry6 Java教程

CSRF是一种非常常见的Web攻击方式，其实是很好防御的，但是由于经常被很多开发者忽略，进而导致很多网站实际上都存在 CSRF 攻击的安全隐患，这篇文章主要介绍了SpringBoot 如何防御 CSRF 攻击,需要的朋友可以参考下

CSRF 就是跨域请求伪造，英文全称是 Cross Site Request Forgery。
这是一种非常常见的Web攻击方式，其实是很好防御的，但是由于经常被很多开发者忽略，进而导致很多网站实际上都存在 CSRF 攻击的安全隐患。

今天和大家聊一聊什么是 CSRF 攻击以及 CSRF 攻击该如何防御。

CSRF 原理

想要防御 CSRF 攻击，那我们需要先搞清楚什么是 CSRF 攻击，通过下面图例来和大家梳理 CSRF 攻击流程：

SpringBoot 防御 CSRF 攻击的流程及原理解析

其实这个流程很简单：
1.假设用户打开了招商网上银行网站，并且登录。
2.登录成功后，网上银行会返回Cookie给前端，浏览器将Cookie保存下来。
3.用户在没有登出网上银行的情况下，在浏览器里打开了一个新的选项卡，然后又去访问了一个危险网站。
4.这个危险网站上有一个超链接，超链接的地址指向了招商网上银行。
4.用户点击了这个链接，由于这个超链接会自动携带上浏览器中保存的Cookie，所以用户不知不觉中就访问了网上银行，进而可能给自己造成了损失。

CSRF的流程大致就是这样，接下来用一个简单的例子展示一下CSRF到底是怎么一回事。

CSRF实践

1.我创建一个名为 csrf-mry 的 Spring Boot 项目，这个项目相当于我们上面所说的网上银行网站，创建项目时引入 Web 和 Spring Security依赖，如下：

?
1
2
3
4
5
6
7
8
9
10
<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
</dependencies>

2.创建成功后，方便起见，我们直接将 Spring Security 用户名/密码 配置在 application.properties 文件中：

?
1
2
3
server.port= 8866
spring.security.user.name=javaboy
spring.security.user.password=123

3.然后我们提供两个测试接口

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
package com.mry.csrf.controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class CsrfDemoController {
    @PostMapping("/transfer")
    public void transferMoney(String name, Integer money) {
        System.out.println("name = " + name);
        System.out.println("money = " + money);
    }
    @GetMapping("/hello")
    public String hello() {
        return "hello";
    }
}

假设 /transfer 是一个转账接口(这里是假设，主要是给大家演示 CSRF 攻击，真实的转账接口比这复杂)。

4.我们还需要配置一下 Spring Security，因为 Spring Security 中默认是可以自动防御 CSRF 攻击的，所以我们要把这个关闭掉。

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
package com.mry.csrf.config;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().anyRequest().authenticated()
                .and()
                .formLogin()
                .and()
                .csrf()
                .disable();
    }
}

配置完成后，我们启动 csrf-simulate-web 项目。

5.我们再创建一个 csrf-loophole-web 项目，这个项目相当于是一个危险网站，为了方便，这里创建时我们只需要引入 web 依赖即可。
项目创建成功后，首先修改项目端口：

?
1
server.port= 8855

6.然后我们在 resources/static 目录下创建一个 hello.html ，内容如下。

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="http://localhost:8866/transfer" method="post">
        <input type="hidden" value="javaboy" name="name">
        <input type="hidden" value="10000" name="money">
        <input type="submit" value="点击查看美女图片">
    </form>
</body>
</html>

这里有一个超链接，超链接的文本是点击查看美女图片，当你点击了超链接之后，会自动请求 http://localhost:8866/transfer 接口，同时隐藏域还携带了两个参数。

配置完成后，就可以启动 csrf-loophole-web 项目了。

接下来，用户首先访问 csrf-simulate-web 项目中的接口，在访问的时候需要登录，用户就执行了登录操作，访问完整后，用户并没有执行登出操作，然后用户访问 csrf-loophole-web 中的页面，看到了超链接，好奇这美女到底长啥样，一点击，结果钱就被人转走了。

CSRF防御

先来说说防御思路。

CSRF 防御，一个核心思路就是在前端请求中，添加一个随机数。

因为在 CSRF 攻击中，黑客网站其实是不知道用户的 Cookie 具体是什么的，他是让用户自己发送请求到网上银行这个网站的，因为这个过程会自动携带上 Cookie 中的信息。

所以我们的防御思路是这样：用户在访问网上银行时，除了携带 Cookie 中的信息之外，还需要携带一个随机数，如果用户没有携带这个随机数，则网上银行网站会拒绝该请求。黑客网站诱导用户点击超链接时，会自动携带上 Cookie 中的信息，但是却不会自动携带随机数，这样就成功的避免掉 CSRF 攻击了。

Spring Security 中对此提供了很好的支持，我们一起来看下。

前后端不分离方案

Spring Security 中默认实际上就提供了 csrf 防御，但是需要开发者做的事情比较多。
首先我们来创建一个新的 Spring Boot 工程，创建时引入 Spring Security、Thymeleaf 和 web 依赖。

1.pom信息

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-thymeleaf</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-test</artifactId>
        <scope>test</scope>
    </dependency>
</dependencies>

2.项目创建成功后，我们还是在 application.properties 中配置用户名/密码

?
1
2
spring.security.user.name=mry
spring.security.user.password=123456

3.接下来，我们提供一个测试接口

?
1
2
3
4
5
6
7
8
9
10
11
12
package com.mry.csrf.controller;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.ResponseBody;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class SecurityCsrfController {
    @PostMapping("/hello")
    @ResponseBody
    public String hello() {
        return "hello";
    }
}

注意，这个测试接口是一个 POST 请求，因为默认情况下，GET、HEAD、TRACE 以及 OPTIONS 是不需要验证 CSRF 攻击的。

4.然后，我们在 resources/templates 目录下，新建一个 thymeleaf 模版

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
<!DOCTYPE html>
<!--导入thymeleaf的名称空间-->
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    <form action="/hello" method="post">
        <input type="hidden" th:value="${_csrf.token}" th:name="${_csrf.parameterName}">
        <input type="submit" value="hello">
    </form>
</body>
</html>

注意，在发送 POST 请求的时候，还额外携带了一个隐藏域，隐藏域的 key 是 ${_csrf.parameterName}，value 则是 ${_csrf.token}。

这两个值服务端会自动带过来，我们只需要在前端渲染出来即可。

5.接下来给前端 hello.html 页面添加一个控制器

?
1
2
3
4
@GetMapping("/hello")
public String hello2() {
    return "hello";
}

6.添加完成后，启动项目，我们访问 hello 页面，在访问时候，需要先登录，登录成功之后，我们可以看到登录请求中也多了一个参数

SpringBoot 防御 CSRF 攻击的流程及原理解析

这里我们用了 Spring Security 的默认登录页面，如果大家使用自定义登录页面，可以参考上面 hello.html 的写法，通过一个隐藏域传递 _csrf 参数。

访问到 hello 页面之后，再去点击【hello】按钮，就可以访问到 hello 接口了。

SpringBoot 防御 CSRF 攻击的流程及原理解析

这是 Spring Security 中默认的方案，通过 Model 将相关的数据带到前端来。

如果你的项目是前后端不分项目，这种方案就可以了，如果你的项目是前后端分离项目，这种方案很明显不够用。

前后端分离方案

如果是前后端分离项目，Spring Security 也提供了解决方案。
这次不是将 _csrf 放在 Model 中返回前端了，而是放在 Cookie 中返回前端，配置方式如下：

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
package com.mry.csrf.config;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.csrf.CookieCsrfTokenRepository;
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().anyRequest().authenticated()
                .and()
                .formLogin()
                .and()
                .csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
    }
}

有小伙伴可能会说放在 Cookie 中不是又被黑客网站盗用了吗？其实不会的，大家注意如下两个问题：
(1)黑客网站根本不知道你的 Cookie 里边存的啥，他也不需要知道，因为 CSRF 攻击是浏览器自动携带上 Cookie 中的数据的。
(2)我们将服务端生成的随机数放在 Cookie 中，前端需要从 Cookie 中自己提取出来 _csrf 参数，然后拼接成参数传递给后端，单纯的将 Cookie 中的数据传到服务端是没用的。
理解透了上面两点，你就会发现 _csrf 放在 Cookie 中是没有问题的，但是大家注意，配置的时候我们通过 withHttpOnlyFalse 方法获取了 CookieCsrfTokenRepository 的实例，该方法会设置 Cookie 中的 HttpOnly 属性为 false，也就是允许前端通过 js 操作 Cookie（否则你就没有办法获取到 _csrf）。

配置完成后，重启项目，此时我们就发现返回的 Cookie 中多了一项：

SpringBoot 防御 CSRF 攻击的流程及原理解析

接下来，我们通过自定义登录页面，来看看前端要如何操作。

首先我们在 resources/static 目录下新建一个 html 页面叫做 login.html：

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
    <script src="https://libs.baidu.com/jquery/2.1.4/jquery.min.js"></script>
    <script src="https://cdn.bootcss.com/jquery-cookie/1.4.1/jquery.cookie.min.js"></script>
</head>
<body>
<div>
    <input type="text" id="username">
    <input type="password" id="password">
    <input type="button" value="登录" id="loginBtn">
</div>
<script>
    $("#loginBtn").click(function () {
        let _csrf = $.cookie('XSRF-TOKEN');
        $.post('/login.html',{username:$("#username").val(),password:$("#password").val(),_csrf:_csrf},function (data) {
            alert(data);
        })
    })
</script>
</body>
</html>

这段 html 给大家解释一下：
(1)首先引入 jquery 和 jquery.cookie ，方便我们一会操作 Cookie。
(2)定义三个 input，前两个是用户名和密码，第三个是登录按钮。
(3)点击登录按钮之后，我们先从 Cookie 中提取出 XSRF-TOKEN，这也就是我们要上传的 csrf 参数。
(4)通过一个 POST 请求执行登录操作，注意携带上 _csrf 参数。

服务端我们也稍作修改，如下：

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
package com.mry.csrf.config;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.csrf.CookieCsrfTokenRepository;
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/static/js/**");
    }
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().anyRequest().authenticated()
                .and()
                .formLogin()
                .loginPage("/login.html")
                .successHandler((req,resp,authentication)->{
                    resp.getWriter().write("success");
                })
                .permitAll()
                .and()
                .csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
    }
}

一方面这里给 js 文件放行。

另一方面配置一下登录页面，以及登录成功的回调，这里简单期间，登录成功的回调我就给一个字符串就可以了。在登录成功后回调的详细解释。

OK，所有事情做完之后，我们访问 login.html 页面，输入用户名密码进行登录，结果如下：

SpringBoot 防御 CSRF 攻击的流程及原理解析

可以看到，我们的 _csrf 配置已经生效了。

到此这篇关于SpringBoot 如何防御 CSRF 攻击的文章就介绍到这了,更多相关SpringBoot 防御 CSRF 攻击内容请搜索服务器之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持服务器之家！

原文链接：https://blog.csdn.net/muriyue6/article/details/130378282

  • springboot
  • 攻击
  • csrf

    • 延伸 · 阅读

    精彩推荐
    • Java教程在Spring Boot中加载XML配置的完整步骤

      在Spring Boot中加载XML配置的完整步骤

      这篇文章主要给大家介绍了关于在Spring Boot中加载XML配置的完整步骤，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值...

      涛GuoGuo的跟屁虫丶博Ke6172020-09-03
    • Java教程java实现简单的拼图游戏

      java实现简单的拼图游戏

      这篇文章主要为大家详细介绍了java实现简单的拼图游戏，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下...

      Serendipity_酱11782021-10-20
    • Java教程Java案例分享-集合嵌套

      Java案例分享-集合嵌套

      这篇文章主要介绍了Java案例分享-集合嵌套，通过案例创建一个ArrayList集合，存储三个元素，每一个元素都是HashMap,每一个HashMap的键和值都是String,并遍历，...

      再美不及姑娘你6882022-11-01
    • Java教程ServletWebServerApplicationContext创建Web容器Tomcat示例

      ServletWebServerApplicationContext创建Web容器Tomcat示例

      这篇文章主要为大家介绍了ServletWebServerApplicationContext创建Web容器Tomcat示例详解，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日...

      无名之辈J6642023-03-16
    • Java教程如何使用IDEA查看java文件编译后的字节码内容

      如何使用IDEA查看java文件编译后的字节码内容

      这篇文章主要介绍了如何使用IDEA查看java文件编译后的字节码内容，具有很好的参考价值，希望对大家有所帮助。如有错误或未考虑完全的地方，望不吝赐...

      morningcat20183482022-09-16
    • Java教程Activiti工作流学习笔记之自动生成28张数据库表的底层原理解析

      Activiti工作流学习笔记之自动生成28张数据库表的底层原理解析

      这篇文章主要介绍了Activiti工作流学习笔记之自动生成28张数据库表的底层原理解析,本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴...

      朱季谦9482021-08-24
    • Java教程MyEclipse+Tomcat配置详解(图文)

      MyEclipse+Tomcat配置详解(图文)

      这篇文章主要介绍了MyEclipse+Tomcat配置详解(图文)，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧...

      温柔狠角色6222021-07-01
    • Java教程Java常用线程池原理及使用方法解析

      Java常用线程池原理及使用方法解析

      这篇文章主要介绍了Java常用线程池原理及使用方法解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可...

      与李1912020-07-31
    最近更新
    编辑推荐
    阅读排行
    热门标签
    501 　 406 　 204 　 415 　 2000 　 1433 　 401 　 330 　 支票 　 随机抽取 　 内存卡 　 下载器 　 十六进制字符 　 响应 　 静态工厂 　 构造函数 　 swt 　 Overview 　 选择排序法 　 对象池模式 　 ConditionalOnProperty 　 金额大写转换 　 htmlparser 　 AspectJ 　 面向切面编程 　 方法名 　 网址信息 　 动态代理模式 　 线程安全 　 空心菱形 　
    © 2019-2023 服务器之家(www.tuohang.net) 版权所有关于我们联系我们版权申明网站地图