解码 CSRF 漏洞防护从原理到代码实践

/user/password/update
/account/transfer
/user/info/edit

<!-- 密码修改表单 -->
<form action="${pageContext.request.contextPath}/user/password/update" method="post">
    <!-- CSRF Token隐藏字段 -->
    <input type="hidden" name="csrfToken" value="${sessionScope.csrfToken}">
    <div class="form-item">
        <label>原密码：</label>
        <input type="password" name="oldPassword" required>
    </div>
    <div class="form-item">
        <label>新密码：</label>
        <input type="password" name="newPassword" required>
    </div>
    <button type="submit">提交修改</button>
</form>

// Axios请求拦截器
axios.interceptors.request.use(config => {
    // 从本地存储（如localStorage）中获取Token
    const csrfToken = localStorage.getItem('csrfToken');
    if (csrfToken) {
        // 将Token加入请求头（需与服务器约定头字段名，此处为X-CSRF-Token）
        config.headers['X-CSRF-Token'] = csrfToken;
    }
    return config;
}, error => {
    return Promise.reject(error);
});

/**
 * CSRF Token验证拦截器（框架内置，开发者可按需扩展）
 */
@Component
public class CsrfInterceptor implements HandlerInterceptor {
​
    // 从配置文件中加载需要防护的URI列表
    @Value("classpath:WEB-INF/xxxx-csrf.lst")
    private Resource csrfUriResource;
    private Set<String> protectedUris;
​
    // 初始化时加载防护URI列表
    @PostConstruct
    public void init() throws IOException {
        // 读取xxxx-csrf.lst文件内容
        List<String> uris = Files.readAllLines(csrfUriResource.getFile().toPath(), StandardCharsets.UTF_8);
        protectedUris = new HashSet<>(uris);
    }
​
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 1. 判断当前请求URI是否在防护列表中
        String requestUri = request.getRequestURI();
        if (!protectedUris.contains(requestUri)) {
            // 不在防护列表，直接放行
            return true;
        }
​
        // 2. 从请求中提取Token（支持表单参数、请求头两种方式）
        String requestToken = request.getParameter("csrfToken");
        if (requestToken == null) {
            requestToken = request.getHeader("X-CSRF-Token");
        }
​
        // 3. 从Session中获取服务器存储的Token
        HttpSession session = request.getSession();
        String serverToken = (String) session.getAttribute("csrfToken");
​
        // 4. Token验证逻辑
        if (requestToken == null || serverToken == null || !requestToken.equals(serverToken)) {
            // 验证失败，返回403 Forbidden
            response.setStatus(HttpServletResponse.SC_FORBIDDEN);
            response.getWriter().write("CSRF Token验证失败，请求被拒绝");
            return false;
        }
​
        // 验证成功，放行请求
        return true;
    }
}

/**
 * 用户登录服务
 */
@Service
public class LoginService {
​
    // 生成CSRF Token（使用UUID保证随机性）
    private String generateCsrfToken() {
        return UUID.randomUUID().toString().replace("-", "");
    }
​
    /**
     * 用户登录成功后，生成Token并存入Session
     */
    public void afterLoginSuccess(HttpSession session) {
        String csrfToken = generateCsrfToken();
        // 将Token存入Session，有效期与Session一致
        session.setAttribute("csrfToken", csrfToken);
        // 若需前端存储Token（如localStorage），可将Token返回给前端
        // 例如：return csrfToken;
    }
}