CSRFGuard：如何将CSRF令牌注入到AJAX调用返回的URL中

Question

我们正试图通过使用CSRFGuard将CSRF保护添加到现有的java web应用程序中。我们遵循了OWASP的令牌注入指南，这让我们走了大部分路。我们使用的是动态DOM操作方法，发现大多数URL/forms/AJAX调用都使用插入的CSRF令牌正确格式化。我们的问题是：

某些页面的一部分是由返回jspfs的AJAX调用动态生成的。返回的jspfs具有从不受CSRFGuard DOM操纵的链接，因此没有CSRF令牌。单击这些链接会导致CSRF冲突，因为不存在令牌。

此外，根据AJAX支持的OWASP指南，需要在AJAX调用之前引用动态脚本，以便可以拦截AJAX调用并将CSRF令牌插入到头中。这与动态更新DOM的脚本相同。所以，为了解决这个问题，我需要在AJAX调用之后运行脚本，但我也需要在AJAX调用之前运行脚本，以便首先运行脚本。尝试运行两次会导致问题。

这里的正确解决方案是什么？是否需要修改CSRFGuard javascript文件，以便可以针对目标元素运行动态令牌注入？这个问题已经解决了吗？

Answer 1

注意：此答案需要修改CSRFGuard。

我正在使用SkateJS(https://github.com/skatejs/skatejs)要监视的动态更新，请执行以下操作：

这将捕获javascript工具包在初始DOM加载后插入的标记。

我还必须修改脚本，防止它在加载时总是扫描整个DOM树以插入令牌。这是非常低效的，使用上述方法是不必要的。

下面是SkateJS配置的示例：

window.addEventListener('load',
    function() {
        var config = {
            ready : function(element) {
                if (CsrfGuard && CsrfGuard.isEnabled) {
                    CsrfGuard.injectTokens([element]);
                } else {
                    skate.destroy();
                }
            },
            type : skate.types.TAG
        };
        skate('a', config);
        skate('img', config);
        skate('form', config);
    }
);

注意：这在IE8上不起作用。为此，我正在使用Microsoft DHTML行为。

<![if IE 8]>
<style>
a,img,form {
    behavior: url("csrf_ie8.htc");
}
</style>
<![endif]>

csrf_ie8。宏达电：

<public:attach event="ondocumentready" onevent="CsrfGuard.injectTokens([element]);" />

Answer 2

我也有同样的问题。我修改了csrfguard。这样做：

>

我从（函数() {}) 块中移出所有函数，并将它们放在块之前。

我定义了2个新函数

    function getTokenNameValuePair() {
        var xhr = window.XMLHttpRequest ? new window.XMLHttpRequest : new window.ActiveXObject("Microsoft.XMLHTTP");
        var csrfToken = {};
        xhr.open("POST", "%SERVLET_PATH%", false);
        xhr.setRequestHeader("FETCH-CSRF-TOKEN", "1");
        xhr.send(null);
        return xhr.responseText;
} 

function injectTokensForNewTags() {
    var token_pair = getTokenNameValuePair();       
    token_pair = token_pair.split(":");
    var token_name = token_pair[0];
    var token_value = token_pair[1];
    injectTokens(token_name, token_value);
}

返回带有链接的HTML块的AJAX应该如下所示：

    $.post(loadurl, function(data) {
        $(target).html(data);
        injectTokensForNewTags();
    });