这些 XSRF 保护是否也适用于 RequestFactory？

Question

我刚刚阅读了this article on GWT RPC XSRF protection，但我正计划编写一个利用更新的 RequestFactory 框架的 GWT 应用程序。

但是，我没有看到任何与本文等效的 RequestFactory，所以我问：如果我使用 RequestFactory，我是否需要担心上面文章中概述的攻击媒介和必要的保护/预防措施？我“免疫”了？有人知道这些项目的 RequestFactory 等效项吗？提前致谢！

Answer 1

不，你不能免疫。

而且我不知道 RequestFactory 有什么等价物。你基本上会在客户端实现一个RequestTransport，在服务器端实现一个servlet过滤器；但是您必须找到某种方法将XsrfToken 传达给客户端（想到动态主机页面）。