csrfguard 未受保护的资源受到保护答案

【问题标题】：Csrfguard unprotected resources are protectedcsrfguard 未受保护的资源受到保护
【发布时间】：2015-09-05 13:35:11
【问题描述】：

我已将 Owasp CsrfGuard 添加到我的项目中，发现一些资源（如 css 和 gif-s）虽然被下一段配置定义为不受保护，但仍受到保护：

org.owasp.csrfguard.unprotected.Public=%servletContext%/resources/*
org.owasp.csrfguard.unprotected.CSS=%servletContext%/resources/css/main.css
org.owasp.csrfguard.unprotected.JS=*.js
org.owasp.csrfguard.unprotected.Scripts=*.js
org.owasp.csrfguard.unprotected.Styles=*.css
org.owasp.csrfguard.unprotected.GIF=*.gif
org.owasp.csrfguard.unprotected.PNG=*.png
org.owasp.csrfguard.unprotected.JPG=*.jpg

对于 js-s，一切正常。那么这种行为的原因是什么？提前致谢。

【问题讨论】：

标签： security csrf owasp

【解决方案1】：

我不确定是什么原因。我只知道它与 href 属性有关（例如用于 CSS 和 GIF 文件）。当我对所有请求（url 模式 =“/*”）使用 CSRFGuard 过滤器时，属性文件中不受保护的声明对我来说很好，但当我想指定某个 servlet 时却不行。

但是，我找到了一种解决方法。在您的 web.xml 中，将此作为初始化参数添加到您的 OwaspJavaScriptServlet：

<init-param>
    <param-name>inject-into-attributes</param-name>
    <param-value>false</param-value>
</init-param>

那么你的具有 href 和 src 属性的资源应该是无令牌的。请参阅documentation。

【讨论】：