XSRF-TOKEN 和 JSESSIONID · Issue #I91M79 · 独孤九剑/Java Learning - Gitee.com

/ 详情

待办的

拥有者

创建于

2024-02-13 14:22

创建了任务

添加了

Spring

标签

修改了描述

修改了描述

原值

 **用途：** 

`XSRF-TOKEN` 和 `JSESSIONID` 都是为了增强 `Web` 应用的安全性而设计的机制。`XSRF-TOKEN` 主要用于防止 `CSRF` 攻击，而 `JSESSIONID` 则用于识别和管理用户的 `session`，两者可以结合使用。为什么不把两者合二为一主要是因为设计初衷不同，分开可以增强安全性，增强可维护性。

如果浏览器禁用了 `cookies`， `XSRF-TOKEN` 和 `JSESSIONID` 在 `Spring` 要怎么使用：

- 传统的 `JSP` 或 `Thymeleaf` 模板页面可以直接使用 `SpEL` 表达式取值，并作为隐藏域传递值：

    ```

    <input type="hidden" name="_csrf" value="${_csrf.token}"/>

    <input type="hidden" name="JSESSIONID" value="${JSESSIONID}"/>

    ```

- 前后端分离，比如 `VUE`，需要在响应数据中获取参数并存储在实例中，后续可以添加到请求头中传递值。

    ```

    http.csrf(csrf -> csrf.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()));

    ```

- `JSESSIONID` 也可以使用 `url` 重写的方式：

    ```

    http.sessionManagement(sm -> sm.enableSessionUrlRewriting(true))

    http://example.com/somepage.jsp?jsessionid=ABCDEFGH

    ```

新值

 **用途：** 

`XSRF-TOKEN` 和 `JSESSIONID` 都是为了增强 `Web` 应用的安全性而设计的机制。`XSRF-TOKEN` 主要用于防止 `CSRF` 攻击，而 `JSESSIONID` 则用于识别和管理用户的 `session`，两者可以结合使用。为什么不把两者合二为一主要是因为设计初衷不同，分开可以增强安全性，增强可维护性。

 **使用：** 

- 传统的 `JSP` 或 `Thymeleaf` 模板页面可以直接使用 `SpEL` 表达式取值，并作为隐藏域传递值：

    ```

    <input type="hidden" name="_csrf" value="${_csrf.token}"/>

    <input type="hidden" name="JSESSIONID" value="${JSESSIONID}"/>

    ```

- 前后端分离，比如 `VUE`，需要获取 `Cookie` 数据，后续可以添加到请求头或者隐藏域中传递值。

    ```

    // 设置为脚本可以访问 `Cookie` 数据

    http.csrf(csrf -> csrf.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()));

   // yml

    server:

      servlet:

        session:

          cookie:

            http-only: false

    ```

- `JSESSIONID` 也可以使用 `url` 重写的方式：

    ```

    http.sessionManagement(sm -> sm.enableSessionUrlRewriting(true))

    http://example.com/somepage.jsp?jsessionid=ABCDEFGH

    ```

如果浏览器禁用了 `cookies`， `XSRF-TOKEN` 和 `JSESSIONID` 在 `Spring` 要怎么使用：需要在响应数据中获取参数并存储在实例中，后续可以添加到请求头中传递值。

展开全部操作日志

登录后才可以发表评论

1

https://gitee.com/843294669/learning.git

git@gitee.com:843294669/learning.git

843294669

learning

Java Learning