后端代码设置Samesite属性

原创已于 2023-02-03 17:17:34 修改 · 4.1k 阅读

5 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#java #后端

于 2022-03-05 14:00:06 首次发布

Web 专栏收录该内容

28 篇文章

订阅专栏

本文介绍了防御CSRF攻击的一种方法，即通过设置Cookie的SameSite属性。SameSite属性的默认值（unset）可能存在风险，而设置为'lax'或'strict'可以增强安全性。'lax'允许在GET请求中发送Cookie，而'strict'则完全禁止跨站Cookie。提供了两种设置方法：一是通过Tomcat的context.xml文件配置为'lax'；二是使用过滤器在响应头中设置'SameSite=Lax'。了解并正确设置此属性对于Web应用的安全至关重要。

Samesite属性设置

目的：防御CSRF
Cookie的属性SameSite如果不配置或者配置为none，则存在CSRF风险。
SameSite的取值可以为：
（1）unset（默认）。这种情况浏览器可能会采用自己的策略。
（2）none。存在CSRF风险。
（2）lax。大多数情况也是不发送第三方 Cookie，但是导航到目标网址的 Get 请求除外。
（3）strict。完全禁止第三方 Cookie，跨站点时，任何情况下都不会发送 Cookie。换言之，只有当前网页的 URL 与请求目标一致，才会带上 Cookie
进展：
方式一：tomcat8 及以上可以在 /conf/context.xml 文件里面的<Context>节点里加一个子节点

<Context>
   <CookieProcessor sameSiteCookies="lax" />
</Context

方式二：在过滤器中设置响应头

        String cookieHeader = req.getHeader("Cookie");
        if(cookieHeader != null) {      
        	 String[] cookiesHeaders = cookieHeader.split(";");
             boolean firstHeader = true;
         	 for (String header : cookiesHeaders) {
         		header = header.trim();
         		if(header != null) {
         			String[] headStr = header.split("=");
             		if(headStr[0].equals("名称")&&firstHeader) {
             			firstHeader = false;
             			resp.setHeader("Set-Cookie", String.format("%s; %s", header, "Path=/;HttpOnly=True;Secure=true;SameSite=Lax;"));
             		 }
         		}
              }
        }