Jeecg Boot项目中跨站点请求伪造(CSRF)漏洞分析与防护方案

什么是跨站点请求伪造(CSRF)问题

跨站点请求伪造(Cross-Site Request Forgery，简称CSRF)是一种常见的Web安全问题。在Jeecg Boot项目中，当应用程序允许用户在不验证请求是否是有意发送的情况下执行某些重要操作时，就可能存在此类安全隐患。

CSRF问题的本质是利用受害者已通过认证的身份，在受害者不知情的情况下，以受害者名义执行非预期的操作。这种情况之所以能够发生，是因为浏览器会自动携带用户的认证信息(如会话Cookie)向目标网站发送请求。

CSRF问题原理详解

典型的CSRF问题流程如下：

1. 用户登录目标网站(如Jeecg Boot系统)，服务器验证通过后下发会话Cookie
2. 用户在不登出目标网站的情况下访问其他网站
3. 其他网站中包含精心构造的请求(如转账、修改密码等重要操作)
4. 用户的浏览器自动携带目标网站的会话Cookie向目标网站发送请求
5. 目标网站服务器认为这是用户主动发起的合法请求，执行相应操作

可以通过多种方式构造非预期请求，包括但不限于：

• 在网页中嵌入隐藏的图片标签
• 自动提交表单
• 通过JavaScript发送XMLHttpRequest请求

Jeecg Boot项目中的CSRF防护方案

针对Jeecg Boot项目，特别是2.4.5及以下版本，建议采取以下防护措施：

1. 验证Referer头部

在服务器端拦截器中，可以检查HTTP请求头中的Referer字段，确保请求来源于可信的域名。这种方法简单有效，但需要注意：

• 某些浏览器可能不发送Referer头
• 用户隐私设置可能禁用Referer
• 需要维护可信域名列表

2. 使用一次性令牌(One-Time Nonce)

更安全的做法是为每个表单生成唯一的令牌(token)，并在服务器端验证该令牌的有效性。具体实现方式包括：

• 在表单中嵌入隐藏的token字段
• 通过自定义HTTP头传递token
• 将会话ID与token绑定，增强安全性

3. 双重认证机制

对于特别重要的操作(如资金转账、密码修改等)，可以要求用户进行二次认证，如：

• 输入当前密码
• 短信/邮箱验证码验证
• 生物特征认证

实施建议

对于Jeecg Boot项目，建议在以下层面实施防护：

1. 网关层：添加CSRF防护过滤器，进行全局性的Referer验证
2. 应用层：在JwtFilter或自定义拦截器中实现token验证机制
3. 前端层：确保所有表单提交都携带CSRF token
4. 重要操作：实施二次认证机制

最新版本的Jeecg Boot已经内置了CSRF防护机制，对于仍在使用旧版本的项目，建议按照上述方案进行升级或自行实现防护措施。

通过综合运用这些防护手段，可以有效降低Jeecg Boot项目出现CSRF问题的风险，保障系统安全稳定运行。