如何防止通過URL地址欄直接訪問頁面

一、解決方案

1，將所有頁面放在WEB-INF目錄下

　　WEB-INF是Java的web應用安全目錄，只對服務端開放，對客戶端是不可見的。所以我們可以把除首頁（index.jsp）以外的頁面都放在WEB-INF目錄下，這樣就無法通過URL直接訪問頁面了。

2，http請求頭字段中的 referer值

　　根據HTTP協議，在HTTP頭中有一個字段叫Referer，它記錄了該HTTP請求的來源地址。在通常情況下，訪問一個安全受限頁面的請求必須來自於同一個網站。比如某銀行的轉賬是通過用戶訪問http://bank.test/test?page=10&userID=101&money=10000頁面完成，用戶必須先登錄bank.test，然后通過點擊頁面上的按鈕來觸發轉賬事件。當用戶提交請求時，該轉賬請求的Referer值就會是轉賬按鈕所在頁面的URL（本例中，通常是以bank. test域名開頭的地址）。而如果攻擊者要對銀行網站實施CSRF攻擊，他只能在自己的網站構造請求，當用戶通過攻擊者的網站發送請求到銀行時，該請求的Referer是指向攻擊者的網站。因此，要防御CSRF攻擊，銀行網站只需要對於每一個轉賬請求驗證其Referer值，如果是以bank. test開頭的域名，則說明該請求是來自銀行網站自己的請求，是合法的。如果Referer是其他網站的話，就有可能是CSRF攻擊，則拒絕該請求。

3，在請求地址中添加token並驗證

　　CSRF攻擊之所以能夠成功，是因為攻擊者可以偽造用戶的請求，該請求中所有的用戶驗證信息都存在於Cookie中，因此攻擊者可以在不知道這些驗證信息的情況下直接利用用戶自己的Cookie來通過安全驗證。由此可知，抵御CSRF攻擊的關鍵在於：在請求中放入攻擊者所不能偽造的信息，並且該信息不存在於Cookie之中。鑒於此，系統開發者可以在HTTP請求中以參數的形式加入一個隨機產生的token，並在服務器端建立一個攔截器來驗證這個token，如果請求中沒有token或者token內容不正確，則認為可能是CSRF攻擊而拒絕該請求。

4，在HTTP頭中自定義屬性並驗證

　　自定義屬性的方法也是使用token並進行驗證，和前一種方法不同的是，這里並不是把token以參數的形式置於HTTP請求之中，而是把它放到HTTP頭中自定義的屬性里。通過XMLHttpRequest這個類，可以一次性給所有該類請求加上csrftoken這個HTTP頭屬性，並把token值放入其中。這樣解決了前一種方法在請求中加入token的不便，同時，通過這個類請求的地址不會被記錄到瀏覽器的地址欄，也不用擔心token會通過Referer泄露到其他網站。

5，其他防御方法

（1） CSRF攻擊是有條件的，當用戶訪問惡意鏈接時，認證的cookie仍然有效，所以當用戶關閉頁面時要及時清除認證cookie，對支持TAB模式（新標簽打開網頁）的瀏覽器尤為重要。

（2）盡量少用或不要用request()類變量，獲取參數指定request.form()還是request. querystring ()，這樣有利於阻止CSRF漏洞攻擊，此方法只不能完全防御CSRF攻擊，只是一定程度上增加了攻擊的難度。

二、Java 代碼示例

無論使用何種方法，在服務器端的攔截器必不可少，它將負責檢查到來的請求是否符合要求，然后視結果而決定是否繼續請求或者丟棄。在 Java 中，攔截器是由 Filter 來實現的。我們可以編寫一個 Filter，並在 web.xml 中對其進行配置，使其對於訪問所有需要 CSRF 保護的資源的請求進行攔截。

在 filter 中對請求的 Referer 驗證代碼如下：

 /**1. 在 Filter 中驗證 Referer*/

 // 從 HTTP 頭中取得 Referer 值
 String referer=request.getHeader("Referer");
 // 判斷 Referer 是否以 bank.example 開頭
 if((referer!=null) &&(referer.trim().startsWith(“bank.example”))){
    chain.doFilter(request, response);
 }else{
　　request.getRequestDispatcher(“error.jsp”).forward(request,response);
 } 

以上代碼先取得 Referer 值，然后進行判斷，當其非空並以 bank.example 開頭時，則繼續請求，否則的話可能是 CSRF 攻擊，轉到 error.jsp 頁面。

如果要進一步驗證請求中的 token 值，代碼如下:

/**2. 在 filter 中驗證請求中的 token */

HttpServletRequest req = (HttpServletRequest)request;
HttpSession s = req.getSession();
// 從 session 中得到 csrftoken 屬性
String sToken = (String)s.getAttribute(“csrftoken”);
if(sToken == null){
    // 產生新的 token 放入 session 中
    sToken = generateToken();
    s.setAttribute(“csrftoken”,sToken);
    chain.doFilter(request, response);
} else{
    // 從 HTTP 頭中取得 csrftoken
    String xhrToken = req.getHeader(“csrftoken”);
    // 從請求參數中取得 csrftoken
    String pToken = req.getParameter(“csrftoken”);
    if(sToken != null && xhrToken != null &&         sToken.equals(xhrToken)){
        chain.doFilter(request, response);
    }else if(sToken != null && pToken != null && sToken.equals(pToken)){
        chain.doFilter(request, response);
}else{
    request.getRequestDispatcher(“error.jsp”).forward(request,response);
    }
}     

首先判斷 session 中有沒有 csrftoken，如果沒有，則認為是第一次訪問，session 是新建立的，這時生成一個新的 token，放於 session 之中，並繼續執行請求。如果 session 中已經有 csrftoken，則說明用戶已經與服務器之間建立了一個活躍的 session，這時要看這個請求中有沒有同時附帶這個 token，由於請求可能來自於常規的訪問或是 XMLHttpRequest 異步訪問，我們分別嘗試從請求中獲取 csrftoken 參數以及從 HTTP 頭中獲取 csrftoken 自定義屬性並與 session 中的值進行比較，只要有一個地方帶有有效 token，就判定請求合法，可以繼續執行，否則就轉到錯誤頁面。生成 token 有很多種方法，任何的隨機算法都可以使用，Java 的 UUID 類也是一個不錯的選擇。

除了在服務器端利用 filter 來驗證 token 的值以外，我們還需要在客戶端給每個請求附加上這個 token，這是利用 js 來給 html 中的鏈接和表單請求地址附加 csrftoken 代碼，其中已定義 token 為全局變量，其值可以從 session 中得到。

/**3. 在客戶端對於請求附加 token */

function appendToken(){
    updateForms();
    updateTags();
}

function updateForms() {
    // 得到頁面中所有的 form 元素
    var forms = document.getElementsByTagName('form');
     for(i=0; i<forms.length; i++) {
        var url = forms[i].action;
        // 如果這個 form 的 action 值為空，則不附加 csrftoken
        if(url == null || url == "" ) continue;
        // 動態生成 input 元素，加入到 form 之后
        var e = document.createElement("input");
        e.name = "csrftoken";
        e.value = token;
        e.type="hidden";
        forms[i].appendChild(e);
    }
}

function updateTags() {
    var all = document.getElementsByTagName('a');
    var len = all.length;
    // 遍歷所有 a 元素
    for(var i=0; i<len; i++) {
        var e = all[i];
        updateTag(e, 'href', token);
    }
}

function updateTag(element, attr, token) {
    var location = element.getAttribute(attr);
    if(location != null && location != '' '' ) {
        var fragmentIndex = location.indexOf('#');
        var fragment = null;
        if(fragmentIndex != -1){
            //url 中含有只相當頁的錨標記
            fragment = location.substring(fragmentIndex);
            location = location.substring(0,fragmentIndex);
        }
        var index = location.indexOf('?');
        if(index != -1) {
            //url 中已含有其他參數
            location = location + '&csrftoken=' + token;
        } else {
            //url 中沒有其他參數
        location = location + '?csrftoken=' + token;
        }
        if(fragment != null){
            location += fragment;
        }
        element.setAttribute(attr, location);
    }
}     

在客戶端 html 中，主要是有兩個地方需要加上 token，一個是表單 form，另一個就是鏈接 a。這段代碼首先遍歷所有的 form，在 form 最后添加一隱藏字段，把 csrftoken 放入其中。然后，代碼遍歷所有的鏈接標記 a，在其 href 屬性中加入 csrftoken 參數。注意對於 a.href 來說，可能該屬性已經有參數，或者有錨標記。因此需要分情況討論，以不同的格式把 csrftoken 加入其中。

如果你的網站使用 XMLHttpRequest，那么還需要在 HTTP 頭中自定義 csrftoken 屬性，利用 dojo.xhr 給 XMLHttpRequest 加上自定義屬性代碼如下：

/**4. 在 HTTP 頭中自定義屬性 */

var plainXhr = dojo.xhr;
// 重寫 dojo.xhr 方法
dojo.xhr = function(method,args,hasBody) {
// 確保 header 對象存在
args.headers = args.header || {};
tokenValue = '<%=request.getSession(false).getAttribute("csrftoken")%>';
var token = dojo.getObject("tokenValue");
// 把 csrftoken 屬性放到頭中
args.headers["csrftoken"] = (token) ? token : "  ";
return plainXhr(method,args,hasBody);
};