CSRF（Cross-site request forgery）跨站請求偽造，也被稱為“One Click Attack”或者Session Riding，通常縮寫為CSRF或者XSRF，是一種對網站的惡意利用。攻擊通過在授權使用者訪問的頁面中包含連結或者指令碼的方式工作。例如：一個網站使用者Bob可能正在瀏覽聊天論壇，而同時另一個使用者Alice也在此論壇中，並且後者剛剛釋出了一個具有Bob銀行連結的圖片訊息。設想一下，Alice編寫了一個在Bob的銀行站點上進行取款的form提交的連結，並將此連結作為圖片src。如果Bob的銀行在cookie中儲存他的授權資訊，並且此cookie沒有過期，那麼當Bob的瀏覽器嘗試裝載圖片時將提交這個取款form和他的cookie，這樣在沒經Bob同意的情況下便授權了這次事務。

下面是CSRF的常見特性：
1. 依靠使用者標識危害網站
2. 利用網站對使用者標識的信任
3. 欺騙使用者的瀏覽器傳送HTTP請求給目標站點
4. 可以通過IMG標籤會觸發一個GET請求，可以利用它來實現CSRF攻擊

一個簡單的例子：
* 使用者小z登入了網站A，同時開啟網站B
* 網站B隱蔽的傳送一個請求至網站A
* 網站A通過session、cookie等身份標記判斷是使用者小z，執行對應操作

這樣網站B內的非法程式碼就盜用了使用者小z的身份，在小z不知情的情況下執行了攻擊者需要的操作，這就是跨站請求偽造。

防禦CSRF可以通過動態token驗證的方式來實現，每次請求生成一個動態token給前端，前端在後續的請求中附加該token，如果token不存在或不正確說明不是正常請求，予以遮蔽，從而達到解決CSRF問題的目的，以下是具體實現。

1、登入成功設定token

String uuidToken = UUID.randomUUID().toString();
map.put("token", uuidToken);
currentUser.getSession().setTimeout(NumberUtils.toLong(serverSessionTimeout, 1800)*1000);
request.getSession().setAttribute("token",uuidToken );
return map;

前後端分離架構，登入成功後將token傳遞給前端，由前端進行儲存。

2、建立CSRFFilter

/** 
 * CSRF跨域請求偽造攔截
 * 除登入以外的post方法，都需要攜帶token，如果token為空或token錯誤，則返回異常提示
 * 注意在filter初始化引數內配置排除的url
 * @author yangwk 
 */  
public class CsrfFilter implements Filter {  
    private static Logger logger = LoggerFactory.getLogger(CsrfFilter.class);

    public List<String> excludes = new ArrayList<String>();

    private boolean isOpen = false;//是否開啟該filter

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain filterChain) throws IOException,ServletException {  
        if(!isOpen){
            filterChain.doFilter(request, response);
            return ;
        }
        if(logger.isDebugEnabled()){
            logger.debug("csrf filter is running");
        }

        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse resp = (HttpServletResponse) response;
        HttpSession session = req.getSession();
        Object token = session.getAttribute("token");
        if(!"post".equalsIgnoreCase(req.getMethod()) || handleExcludeURL(req, resp) || token == null){
            filterChain.doFilter(request, response);
            return;
        }

        String requestToken = req.getParameter("token");
        if(StringUtils.isBlank(requestToken) || !requestToken.equals(token)){
            AjaxResponseWriter.write(req, resp, ServiceStatusEnum.ILLEGAL_TOKEN, "非法的token");
            return;
        }
        filterChain.doFilter(request, response);
    }

    private boolean handleExcludeURL(HttpServletRequest request, HttpServletResponse response) {
        if (excludes == null || excludes.isEmpty()) {
            return false;
        }
        String url = request.getServletPath();
        for (String pattern : excludes) {
            Pattern p = Pattern.compile("^" + pattern);
            Matcher m = p.matcher(url);
            if (m.find()) {
                return true;
            }
        }
        return false;
    }

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        if(logger.isDebugEnabled()){
            logger.debug("csrf filter init~~~~~~~~~~~~");
        }

        String temp = filterConfig.getInitParameter("excludes");
        if (temp != null) {
            String[] url = temp.split(",");
            for (int i = 0; url != null && i < url.length; i++) {
                excludes.add(url[i]);
            }
        }

        temp = filterConfig.getInitParameter("isOpen");
        if(StringUtils.isNotBlank(temp) && "true".equals(isOpen)){
            isOpen = true;
        }
    }

    @Override
    public void destroy() {}  

} 

除登入之外，post方式提交的請求都需要攜帶token，用於驗證。

3、註冊CSRFFilter

/**
 * csrf過濾攔截器
 */
@Bean
public FilterRegistrationBean csrfFilterRegistrationBean() {
    FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean();
    filterRegistrationBean.setFilter(new CsrfFilter());
    filterRegistrationBean.setOrder(2);
    filterRegistrationBean.setEnabled(true);
    filterRegistrationBean.addUrlPatterns("/*");
    Map<String, String> initParameters = Maps.newHashMap();
    initParameters.put("excludes", "/login/*");
    initParameters.put("isOpen", isCsrfFilterOpen);
    filterRegistrationBean.setInitParameters(initParameters);
    return filterRegistrationBean;
}

小結

防禦CSRF攻擊可以通過在表單內新增隨機token來實現，本例內未提供token重新整理機制，可根據具體情況調整，如使用一次後重新整理或用舊的token獲取新的token等，不能提供一個重新整理介面，讓前端直接呼叫而不驗證舊有token，那樣該介面本身就是不安全的，會被偽使用者呼叫。
具體實現：
1. 登入成功，返回token給前端（前後端分離架構）；
2. 建立CsrfFilter，對非登入的post請求，驗證其token是否正確；
3. 註冊CSRFFilter
4. 如有需要，可在token使用後重新整理或前端控制使用舊token換取新token。