如何为基于 Struts2 的老旧 Java Web 应用实现 CSRF 防护-java教程-PHP中文网

如何为基于 Struts2 的老旧 Java Web 应用实现 CSRF 防护

本文介绍在不重构的前提下，为遗留 Struts2 应用快速集成 CSRF 防护的实践方案，重点利用框架内置的 token 和 tokenSession 拦截器，无需引入外部依赖或修改 Servlet 过滤器链。

本文介绍在不重构的前提下，为遗留 struts2 应用快速集成 csrf 防护的实践方案，重点利用框架内置的 `token` 和 `tokensession` 拦截器，无需引入外部依赖或修改 servlet 过滤器链。

Struts2 自 2.1 起便原生支持 CSRF 防御机制，其核心是通过 Token 拦截器（token 或 tokenSession） 实现“一次有效令牌”校验：服务端生成唯一 token 并嵌入表单（如隐藏域），用户提交时拦截器比对请求中 token 与会话中存储的 token 是否一致且未被重复使用。该方案轻量、兼容性强，特别适合无法升级框架版本的老旧系统。

✅ 推荐方案：启用 `tokenSession` 拦截器（推荐用于表单提交场景）

tokenSession 比基础 token 更健壮——它在校验失败时不会中断请求流程，而是将错误信息存入 ActionContext，允许开发者统一处理（如跳转至错误页或提示重试），避免因误刷新导致白屏。

步骤如下：

在 struts.xml 中定义包含 tokenSession 的拦截器栈（推荐）：

<interceptors><interceptor-stack name="csrfStack"><interceptor-ref name="defaultStack"></interceptor-ref><interceptor-ref name="tokenSession"></interceptor-ref></interceptor-stack></interceptors>

为需防护的 Action 指定该拦截器栈：

deep-java-review
Java项目代码review工具。分析Git变更+完整调用链路上下文，推断业务需求，进行多维度评分和分类汇总，生成完整PRD文档。包含细粒度Java代码审查清单（Null安全、异常处理、Streams、并发、equals/hashCode、资源管理、API设计、性能、MyBatis/ORM、事务边界、SQL/DD...

下载
```
<action name="submitOrder" class="com.example.OrderAction" method="execute"><interceptor-ref name="csrfStack"></interceptor-ref><result name="success">/success.jsp</result><result name="invalid.token">/error/csrf.jsp</result></action>
```

在 JSP 表单中添加 <token></token> 标签（自动生成隐藏 token 字段）：

<form action="submitOrder">
<token></token><!-- 必须置于 form 内部 --><textfield name="orderAmount" label="金额"></textfield><submit value="提交订单"></submit>
</form>

⚠️ 注意事项：

<token></token> 必须出现在 <form></form> 内，且每个表单仅能出现一次；

若页面含多个独立表单，需为每个表单单独添加 <token></token>；

tokenSession 拦截器默认将 token 存于 HttpSession，确保应用部署在支持 session 粘滞的集群环境中；

不建议在 GET 请求（如链接跳转）中启用 token 校验，因其易被浏览器预加载或 Referer 泄露，应仅保护 POST/PUT/DELETE 等状态变更操作。