本文介绍了一种在使用DWR框架时遇到的CSRF攻击警告问题及其解决方案。通过修改web.xml中的配置，设置crossDomainSessionSecurity参数为false，可以解决跨域请求导致的session error问题。
问题描述:
算是一个最简单的dwr的入门demo.也是按照dwr的入门demo写的..但是在运行的时候却出现了下面的问题.
前台页面跳出session error的对话框
而控制台则输出:
org.directwebremoting.util.CommonsLoggingOutput error
严重: A request has been denied as a potential CSRF attack.
的错误信息.
<servlet>
<servlet-name>dwr-invoker</servlet-name>
<servlet-class>org.directwebremoting.servlet.DwrServlet</servlet-class>
<init-param>
<param-name>debug</param-name>
<param-value>true</param-value>
</init-param>
<init-param>
<param-name>crossDomainSessionSecurity</param-name>
<param-value>false</param-value>
</init-param>
</servlet>
算是一个最简单的dwr的入门demo.也是按照dwr的入门demo写的..但是在运行的时候却出现了下面的问题.
前台页面跳出session error的对话框
而控制台则输出:
org.directwebremoting.util.CommonsLoggingOutput error
严重: A request has been denied as a potential CSRF attack.
的错误信息.
后来上网找到了解决方法:
在web.xml配置文件中..
dwr的配置
<servlet>
<servlet-name>dwr-invoker</servlet-name>
<servlet-class>org.directwebremoting.servlet.DwrServlet</servlet-class>
<init-param>
<param-name>debug</param-name>
<param-value>true</param-value>
</init-param>
<init-param>
<param-name>crossDomainSessionSecurity</param-name>
<param-value>false</param-value>
</init-param>
</servlet>
加入corssDomainSessionSecurity这个配置选项..这个参数是在dwr版本2.0才有的.默认值为true,也就是
禁止其他域发送请求.
corssDomainSessionSecurity:设置成false能够从其他域进行请求.注意这样做会在安全性上有一些冒险.
就我了解如果tomcat用的是8080端口，则可能不需要配置crossDomainSessionSecurity ，如果不是8080就需要配置crossDomainSessionSecurity不然就会报session error！！
扫一扫
1303
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
