具有除X-Requested-By之外的自定义标头的CSRF保护

Question

这与帖子https://security.stackexchange.com/questions/23371/csrf-protection-with-custom-headers-and-without-validating-token/23373#23373?newreg=9acf3e40d05f4d19a00eb58b160f8453

有关

因此，如果我们决定使用自定义标头验证作为CSRF保护的选项，并且如果我们需要使用除“X-Requested-By”之外的其他一些自定义标头，那么最好的方法是什么

Answer 1

从CsrfProtectionFilter的源代码中，要验证的标头被定义为私有静态变量。因此无法更改标头以进行验证。

private static final String HEADER_NAME = "X-Requested-By";

坚持标准并使用X-Requested-By是很好的 但是，如果你想验证一个单独的标题，你需要编写自己的过滤器，这很容易。只需复制class并更改标题（不推荐使用）