关于 Tomcat 7 url 编码中的 CSRF 过滤器

Question

我正在开发一个容易受到 CSRF（跨站点请求伪造）攻击的 Web 应用程序。 Tomcat 7 有一个 CSRF 预防过滤器。我通过描述来配置这个过滤器。 此过滤器要求我们调用 HttpServletResponse#encodeRedirectURL(String) 或 HttpServletResponse#encodeURL(String)。

但是，我发现在我的应用程序中我们没有使用上述方法。我们使用 mapping.findForward(target); 转发响应无需触及请求或响应对象。你能告诉我如何或在哪里可以在我的代码中集成 encodeURL() 或 encodeRedirectURL() 方法吗？

感谢您提供这方面的任何帮助。

谢谢，

Answer 1

您可以编写一个 Servlet 并将所有 url (/*) 映射到 web.xml 文件中的该 servlet。现在你可以通过 HttpServletResponse 使用 encodeUrl 方法了。