verhindert CSRF in einer Website POST-Anfrage

Question

Ich muss reafact aber nicht so sehr eine Webapp (JSP ohne Tag-Bibliotheken) für CSRF Angriff verhindern. Ich kann nicht einen Algorithmus wie hier beschreiben, aber ich denke, Nonce ID ist die beste Lösung für mich: https://tomcat.apache.org/tomcat-8.0-doc/config/filter.html#CSRF_Prevention_Filter_for_REST_APIs Wenden Sie diese Argumente an, ist sehr teuer, weil ich alle Aufrufanforderung ändern muss (fügen Sie für jeden Post ein und zwingen Client um einen zweiten Aufruf auszuführen), entscheide ich mich dafür, ein verstecktes Eingabe-Eingabefeld in allen meinen jsp hinzuzufügen, indem ich einen statischen Include-Import und einen Java-Filter für die Übereinstimmungssitzung der Nonce-ID und der Anforderungs-Nonce-ID verwende. Ist es meine Lösung eine gute Übung und eine Alternative zum Restalgorithmus? Sorry für mein schlechtes Englisch ..

Danke!

Roby

Answer 1

Ihr Ansatz ist ein Honeypot captcha genannt, die einen gewissen Schutz bietet, aber es ist nicht auf Sicherheit schließen. Wenn Sie diesen Ansatz verwenden, kann ich als Benutzer Ihren HTML-Code bearbeiten und Ihre Website einfach hacken. Außerdem kann ich von den Anfragen sehen, was gesendet wird, und mein eigenes Programm schreiben, das Ihnen Wünsche senden wird. Also nein, das ist kein guter Ansatz für sich, aber es ist nicht schlecht, wenn Sie es mit echtem Schutz benutzen.