在 Liferay 中防止跨站点请求伪造

Question

对基于 Liferay 5.2.3 的站点进行 CSRF 校对的最佳实践是什么？ OWASP 建议 (http://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)_Prevention_Cheat_Sheet#General_Recommendation:_Synchronizer_Token_Pattern) 使用 Synchronizer 令牌模式，但手动执行此操作似乎很乏味，尤其是在多个 portlet 之间共享令牌。

应该配备一个综合的 portlet 容器来处理这个问题，来自 Liferay 站点的bug report 似乎也表明它确实如此。但是，我找不到有关如何执行此操作的更多信息。

Answer 1

如果您使用 Tomcat 6 或更高版本，您可以使用跨站点请求伪造防护过滤器， 在类 org.apache.catalina.filters.CsrfPreventionFilter 中实现。请参阅 Apache Tomcat 文档。也许，对你有帮助。