Est-ce que JSF1.2 a une protection CSRF?

Question

J'ai testé une application JSF avec l'outil CSRFtester et l'outil n'a signalé aucun problème CSRF. Mais j'avais lu dans le fichier "OWASP_Top_10_2007_for_JEE.pdf", que tous les frameworks d'application web Java EE sont vulnérables à CSRF et certains disent que nous devons créer une clé secrète pour chaque session et l'ajouter à l'URL. En faisant cela, nous pouvons sécuriser notre application JSF de l'attaque CSRF. Cela me rend confus. Je ne trouve pas de documentation claire. IS JSF est vulnérable aux attaques CSRF? Quelle était la bonne façon de protéger une application JSF contre les attaques CSRF? Sil te plait aide moi!!

Merci à l'avance !!

Answer 1

Oui, JSF est vulnérable à CSRF. J'ai implémenté le jeton de prévention CSRF pour mon application JSF 1.2 il y a quelques jours.

Voici ce que vous pouvez utiliser:

Tomcat CSRF Prevention Filter (trouver la source)

Another wonderful solution, can be easily implemented on JSF 1.2

J'ai utilisé la combinaison de deux. Fonctionne bien.