使用带有tomcat 6.0.32的CSRF过滤器时出现403错误

时间:2012-10-31 05:28:46

标签: security tomcat csrf

这是我在web.xml中的文件管理器配置

<filter>
    <filter-name>CSRFPreventionFilter</filter-name>
    <filter-class>org.apache.catalina.filters.CsrfPreventionFilter</filter-class>
    <init-param>
        <param-name>entryPoints</param-name>
        <param-value>/login<param-value>
    </init-param>
</filter>

<filter-mapping>
    <filter-name>CSRFPreventionFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>
<filter>

我错过了什么吗?是否需要在tomcat中启用csrf保护所需的代码更改

1 个答案:

答案 0 :(得分:5)

请注意,如果未提供nonce并且过滤器需要一个,则 403 CSRFPreventionFilter响应。

我不知道 CSRFPreventionFilter 的当前状态,但根据this thread,您需要单独指定每个 entryPoint 资源(无通配符) - 或者将过滤器应用于不包含 / login

的路径

所以:

<filter>
<filter-name>CSRFPreventionFilter</filter-name>
<filter-class>org.apache.catalina.filters.CsrfPreventionFilter</filter-class>
<init-param>
    <param-name>entryPoints</param-name>
    <param-value>/login/login.html,/login/image.png,/login/style.css</param-value>
</init-param>
</filter>

或者:

<filter-mapping>
<filter-name>CSRFPreventionFilter</filter-name>
<url-pattern>/csrf/*</url-pattern>
</filter-mapping>

2012年12月更新:

Tomcat 7.0.32修复 CSRFPreventionFilter

中的安全漏洞