从extjs到Struts动作的AJAX调用的CSRF预防

Question

我需要在使用ajax post请求（ExtJs库）到Struts操作的应用程序中使用令牌实现CSRF攻击防范。在这种情况下如何实现令牌生成和验证？

Answer 1

在ExtJS中你可以使用它：

Ext.Ajax.setDefaultHeaders({ token: 'xyz' })

此操作将为您将发送到服务器的每个请求添加标头。

在服务器端考虑使用Spring Security。我推荐这个解决方案。

第二个（而不是最后一个选项） - 您可以编写自己的servlet服务和过滤器 - 身份验证（服务生成令牌） - 授权（过滤请求令牌验证）。