CN102480490A - 一种用于防止csrf攻击的方法和设备 - Google Patents

Abstract

本公开提供了一种用于防止CSRF攻击的设备和方法，其中方法包括拦截客户端浏览器向服务器发送的请求；生成令牌；生成对请求的响应；将令牌插入到对请求的响应中；以及向客户端浏览器发送插入了令牌的对请求的响应。通过本公开的设备和方法，确保用户通过客户端浏览器访问资源的请求中都被插入了令牌，通过验证请求中令牌是否有效来确保请求是由用户本人发出的，从而防止了CSRF攻击。

Description

一种用于防止CSRF攻击的方法和设备

技术领域

本发明涉及网络安全，更具体地，本发明涉及一种用于防止网络攻击的方法和设备。

背景技术

随着互联网应用的越来越广泛，互联网安全问题成了人们日益关注的问题。在现有的多种威胁网络安全的攻击方法中，跨站请求伪造(CSRF)攻击是一种挟制终端用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。攻击者只要借助少许的社会工程诡计，例如通过电子邮件或者是聊天软件发送的链接，攻击者就能迫使一个Web应用程序的用户去执行攻击者选择的操作。例如，如果用户登录网络银行去查看其存款余额，他没有退出网络银行系统就去了自己喜欢的论坛，如果攻击者在论坛中精心构造了一个恶意的链接并诱使该用户点击了该链接，那么该用户在网络银行帐户中的资金就有可能被转移到攻击者指定的帐户中。当CSRF针对普通用户发动攻击时，将对终端用户的数据和操作指令构成严重的威胁；当受攻击的终端用户具有管理员帐户的时候，CSRF攻击将危及整个Web应用程序，因而CSRF攻击的危害性很大。

针对CSRF攻击，一种最安全的防止方法就是对现存的所有服务器进行改造使其能够防范CSRF攻击。但这种做法明显不切实际。针对现存的服务器，现有技术中存在的一些其他的解决方案也都不能有效地防止CSRF攻击。因此，需要一种方法和设备能够有效地防止CSRF攻击。

发明内容

本公开说明性实施例中认识到现有技术中不能有效地防止CSRF攻击的问题，提出了一种在不修改现有服务器的前提下能够有效防止CSRF攻击的方法和设备。

根据本公开的一个实施例，提供了一种用于防止CSRF攻击的设备，包括：请求拦截模块，用于拦截客户端浏览器向服务器发送的请求；令牌生成模块，用于生成令牌；响应生成模块，用于生成对请求的响应；令牌插入模块，用于将令牌插入到对请求的响应中；以及响应发送模块，用于向客户端浏览器发送插入了令牌的对请求的响应。

根据本公开的一个实施例，提供了一种用于防止CSRF攻击的设备，包括：请求拦截模块，用于拦截客户端浏览器向服务器发送的请求；令牌读取模块，用于读取客户端浏览器向服务器发送的后续请求中的令牌；令牌验证模块，用于验证客户端浏览器向服务器发送的后续请求中的令牌是否有效。

根据本公开的一个实施例，提供了一种用于防止CSRF攻击的方法，包括：拦截客户端浏览器向服务器发送的请求；生成令牌；生成对请求的响应；将令牌插入到对请求的响应中；以及向客户端浏览器发送插入了令牌的对请求的响应。

根据本公开的一个实施例，提供了一种用于防止CSRF攻击的方法，包括：拦截客户端浏览器向服务器发送的请求；读取客户端浏览器向服务器发送的请求中的令牌；验证客户端浏览器向服务器发送的请求中的令牌是否有效。

此外，本公开的实施例还提供了与上述方法对应的计算机程序产品。

利用本公开实施例提供的上述一个或多个实施例，能够在不修改现有服务器的前提下，有效地防止CSRF攻击。

附图说明

本公开可以通过参考下文中结合附图所给出的描述而得到更好的理解，其中在所有附图中使用了相同或相似的附图标记来表示相同或者相似的部件。所述附图连同下面的详细说明一起包含在本说明书中并且形成本说明书的一部分，而且用来进一步举例说明本公开的优选实施例和解释本公开的原理和优点。在附图中：

图1显示了CSRF攻击的原理图；

图2显示了根据本公开的一个实施例的用于防止CSRF攻击的方法200；

图3a显示了根据本公开一个实施例的用于防止CSRF攻击的方法300；

图3b显示了根据本公开一个实施例的用于防止CSRF攻击的方法300可以包括的一些可选步骤；

图4显示了根据本公开实施例的信号流程。

具体实施方式

在下文中将结合附图对本公开的示范性实施例进行描述。为了清楚和简明起见，在说明书中并未描述实际实施方式的所有特征。然而，应该了解，在开发任何这种实际实施例的过程中必须做出很多特定于该实际实施方式的决定，以便实现开发人员的具体目标，例如，符合与系统及业务相关的那些限制条件，并且这些限制条件可能会随着实施方式的不同而有所改变。此外，还应该了解，虽然开发工作有可能是非常复杂和费时的，但对得益于本公开公开内容的本领域技术人员来说，这种开发工作仅仅是例行的任务。

在此，还需要说明的一点是，为了避免因不必要的细节而模糊了本公开，在附图中仅仅示出了与根据本公开的方案密切相关的装置结构和/或处理步骤，而省略了与本公开关系不大的其他细节。

为了更好地对本公开中技术方案的原理进行介绍，下面首先结合图1介绍CSRF攻击的原理。

图1示例性地显示了CSRF攻击的原理。在图1显示的系统100中，用户102通过其客户端浏览器104访问位于服务器108端的Web应用110。通常情况下，服务器108首先需要验证用户102的身份。验证用户102身份的方式有多种，一般通过提示用户102输入用于访问Web应用110的认证信息来进行。用户102接收到输入提示后输入用于访问Web应用110的认证信息并将包含认证信息的登陆请求发送到服务器108。服务器108通过验证接收的登录请求中包含的用户102的认证信息来验证用户102是否为Web应用110的合法用户。假设用户102输入了正确的认证信息，那么服务器108会认为该用户102为Web应用110的合法用户。由于服务器108是通过cookie来识别用户102的，当用户102成功进行身份验证之后客户端浏览器104就会得到一个识别用户102身份的cookie，该cookie包含用户102的认证信息，用于标识用户102的客户端浏览器104与服务器108的Web应用110之间会话。这里我们以Web应用110为网上银行，用户102想要通过该网上银行进行转账操作为例说明CSRF攻击的过程。假设用户102在该银行具有账户UA，他想通过网上银行将1000元转入到另一个账户UA2上。正常情况下，用户102通过其客户端浏览器104发送的请求应该是：

http://bank.example/withdraw？account＝UA&amount＝1000&for＝UA2

假设攻击者106在该银行具有账户ATT，同时，他知道上下文中的URL可以进行转账操作。这时，攻击者106通过在其拥有权限的某一页面嵌入如下代码：

src＝”http://bank.example/withdraw？account＝UA&amount＝1000&for＝ATT”

并通过广告等方式诱使用户102访问具有上述嵌入代码的页面。如果用户102访问了具有上述嵌入代码的页面，上述嵌入代码将被执行。即，用户102的客户端浏览器104会将上述嵌入代码中的URL

http://bank.example/withdraw？account＝UA&amount＝1000&for＝ATT

连同用户102的客户端浏览器104中用于标识用户102的客户端浏览器104和网上银行之间会话的cookie一起发送给网上银行。可以看出，该URL对应于将用户102的账户UA中的1000元转入到攻击者106的账户ATT中的转账请求。通常情况下该请求会失败，因为网上银行要求用户102的认证信息。但是，如果用户102的客户端浏览器104中用于标识用户102的客户端浏览器104和网上银行之间会话的cookie尚未过期，由于该cookie中含有用户102的认证信息，那么网上银行就会接收到包含用户102的认证信息的将用户102的账户UA中的1000元转入到攻击者106的账户ATT中的转账请求。由于该请求中包含了用户102的认证信息，网上银行会将上述请求视为合法的请求进行处理，即将用户102的账户UA中的1000元转到了攻击者106的账户ATT中。

上面简要描述了CSRF攻击的原理。下面将继续结合上面的例子详细介绍根据本公开的实施例用于防止CSRF攻击的方法和设备。下面的描述均是示例性描述，在本公开中描述内容的基础上，所属领域技术人员可以通过增加、减少、组合、修改等方式得到在本公开构思所覆盖范围内的其他可能的实施方式，所有这些都将落入本公开的保护范围内。

本公开引入一个用于拦截客户端浏览器向服务器发送的请求的设备，该设备向客户端浏览器发送的请求中添加令牌。随后，该设备会对客户端浏览器发送的每一个请求进行验证以确定每一个请求是否安全。

下面参见图2，其中显示了根据本公开一个实施例的用于防止CSRF攻击的设备200的设备，包括：

请求拦截模块202，用于拦截客户端浏览器向服务器发送的请求；

令牌生成模块204，用于生成令牌；

响应生成模块206，用于生成对请求的响应；

令牌插入模块208，用于将令牌插入到对请求的响应中；以及

响应发送模块210，用于向客户端浏览器发送插入了令牌的对请求的响应。

其中，对请求的响应可以是HTTP 307响应。

此外，根据本公开一个实施例的用于防止CSRF攻击的设备200还可以包括：令牌读取模块212，用于读取客户端浏览器向服务器发送的后续请求中的令牌；令牌验证模块214，用于验证客户端浏览器向服务器发送的后续请求中的令牌是否有效。如果客户端浏览器向服务器发送的后续请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且令牌验证模块214验证其令牌有效，则由响应生成模块206生成对后续请求的响应；由令牌插入模块208将令牌插入到对后续请求的响应中；以及由响应发送模块210向客户端浏览器发送插入了令牌的对后续请求的响应。

此外，根据本公开一个实施例的用于防止CSRF攻击的设备200还可以包括：请求转发模块216，用于将客户端浏览器向服务器发送的后续请求转发到服务器。如果客户端浏览器向服务器发送的后续请求中请求的URL中存在令牌并且令牌验证模块214验证其令牌有效，则由请求转发模块216将后续请求转发到服务器。

此外，根据本公开一个实施例的用于防止CSRF攻击的设备200还可以包括：请求判断模块218，用于判断客户端浏览器向服务器发送的后续请求是否为Ajax请求。如果请求判断模块218确定客户端浏览器向服务器发送的后续请求是Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌验证模块214验证其令牌有效，则由请求转发模块216将后续请求转发到服务器。如果请求判断模块218确定客户端浏览器向服务器发送的后续请求是非Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌验证模块214验证其令牌有效，则由响应生成模块206生成对后续请求的响应；由令牌插入模块208将令牌插入到对后续请求的响应中；以及由响应发送模块210向客户端浏览器发送插入了令牌的对后续请求的响应。

申请人强调，尽管图2中显示的用于防止CSRF攻击的设备200包括多个模块，但并不是每个模块都是必须的，可以根据设计的需要增加或减少一些模块。例如，用于防止CSRF攻击的设备200可以仅包含实线显示的那些模块。

下面参见图3a，其中显示了根据本公开一个实施例的用于防止CSRF攻击的方法300。

图3a的方法300从步骤302开始。接下来，方法300进入步骤304，其中拦截客户端浏览器向服务器发送的请求。可以通过如图2所示的设备200中的请求拦截模块202对请求进行拦截，请求拦截模块202可以例如利用Java Servlet实现。可以采用现有的任意方式的对请求进行拦截的方法来达到上述目的，这里不再赘述。

接下来，方法300进入步骤306，其中生成令牌，该令牌用于插入到要向客户端浏览器返回的响应中。令牌的生成可以利用现有技术中的算法和手段，例如利用UUID或随机算法。

接下来，方法300进入步骤308，其中生成针对拦截的客户端浏览器向服务器发送的请求的响应。根据本公开的一个实施例，该响应为HTTP307响应。HTTP 307响应是遵循HTTP 1.1协议的用于重定向的响应，能够将客户端浏览器发送的HTTP请求(包括HTTP GET和HTTP POST)重定向到预先设置的位置。

接下来，方法300进入步骤310，其中将生成的令牌插入到生成的针对拦截的客户端浏览器向服务器发送的请求的响应中。这时，向客户端浏览器返回的响应中包含了在步骤306中生成的令牌。

接下来，方法300进入步骤312，结束。或者可选地，方法300还可以进入图3b。

现在参见图3b，其中显示了根据本公开一个实施例的用于防止CSRF攻击的方法300可以包括的一些可选步骤。

接图3a，根据本公开一个实施例的用于防止CSRF攻击的方法300还可以包括步骤314，其中拦截客户端浏览器向服务器发送的后续请求。这里，后续请求对应于执行如图3a显示的方法，客户端浏览器接收了设备200返回的响应之后发送的请求。由于设备200向客户端浏览器返回的响应中被插入了令牌，因此，客户端浏览器随后向服务器发出的后续请求中也会包含该令牌。

接下来，方法300进入步骤316，其中读取客户端浏览器向服务器发送的后续请求中的令牌。

接下来，方法300进入步骤318，其中验证客户端浏览器向服务器发送的后续请求中的令牌是否有效。之后，方法300进入步骤320，其中通过比较读取的客户端浏览器向服务器发送的后续请求中的令牌与设备200中记录的其向客户端浏览器返回的响应中插入的令牌是否相同来确定客户端浏览器向服务器发送的后续请求中的令牌是否有效。如果两者不同，方法300进入步骤322，认为该请求无效。之后方法300返回步骤314，继续拦截客户端浏览器向服务器发送的后续请求。如果两者相同，方法300进入步骤324，其中进一步验证客户端浏览器向服务器发送的后续请求中请求的URL中是否存在令牌。如果客户端浏览器向服务器发送的后续请求中请求的URL中存在令牌并且有效，方法300进入步骤326，其中将后续请求转发到服务器。由于攻击者无法知道令牌的值，因此请求的URL中存在有效的令牌将说明该请求是安全的，因而可以将其转发到服务器进行处理。

如果客户端浏览器向服务器发送的后续请求中请求的URL中不存在令牌，则进一步验证客户端浏览器向服务器发送的后续请求中的Referer头域中是否存在令牌以及令牌是否有效。Referer头域是HTTP协议中定义的HTTP头中的字段，允许客户端指定请求URL的源资源地址，这可以允许服务器生成回退链表。例如，用户通过点击IBM的主页(www.ibm.com)中的链接访问IBM技术支持页面(www.ibm.com/support)，那么客户端浏览器发送的访问IBM技术支持页面的请求中的Referer头域中将包含IBM的主页的地址。例如，该请求可能为：

GET http://www.ibm.com/support

…

Referer:http://www.ibm.com

…

如果客户端浏览器向服务器发送的后续请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且有效，方法300进入步骤328，其中生成对后续请求的响应；之后在步骤330，将令牌插入到对后续请求的响应中，并在步骤332，向客户端浏览器发送插入了令牌的对后续请求的响应。

可选地，如果客户端浏览器向服务器发送的后续请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且有效，方法300还可以进入步骤334，其中判断客户端浏览器向服务器发送的后续请求是否为Ajax请求，如果是Ajax请求，方法300进入步骤326，其中将后续请求转发到服务器。如果不是Ajax请求，方法300进入步骤328，其中生成对后续请求的响应；之后在步骤330，将令牌插入到对后续请求的响应中，并在步骤332，向客户端浏览器发送插入了令牌的对后续请求的响应。由于Ajax请求的特点，在已经验证了令牌的有效性的前提下，可以认为该请求是安全的，因而可以将其转发到服务器进行处理。

下面参见图4，其中显示了根据本公开实施例的信号流程。申请人强调，图4只是为了说明的目的，不能认为是对本公开保护范围的限制。图4中假设用户通过他的客户端浏览器请求访问受保护的资源URL 1，如402所示。该请求发送到服务器的认证模块，认证模块提示用户输入认证信息，如404所示。然后，用户提供认证信息，如406所示。接下来，服务器验证模块验证用户提供的认证信息。如果认证信息正确，服务器验证模块将请求向URL 1转发，如408所示。现有技术中，当服务器验证模块验证用户的认证信息正确之后请求会被直接转发至服务器中的Web应用。根据本公开的一个或多个实施例，设备200拦截该请求(这里是服务器认证模块转发的访问<URL 1>的请求)。之后，设备200中的令牌生成模块生成令牌XXX(如410中所示的Token＝XXX)，将令牌XXX插入到向客户端浏览器返回的响应中，如410所示。根据本公开的一个实施例，设备200向客户端浏览器返回HTTP 307响应，将请求重定向至<URL 1>。该响应典型地如下所示：

HTTP 307 Temporary Redirect

Location:<URL 1>？Token＝XXX

可见，该响应中插入了令牌XXX，该令牌被加插入到用户将再次请求的URL 1中，即<URL 1>？Token＝XXX，如412所示。

客户端浏览器接收到插入了令牌XXX的响应之后，请求访问响应中指定的地址<URL 1>，这时的请求典型地如下所示：

GET<URL 1>？Token＝XXX

可见，该请求的URL中也插入了令牌XXX，即<URL1>？Token＝XXX，如414所示。这时，设备200再次拦截该请求，并验证该请求中请求的URL中是否存在令牌并且令牌是否有效。如果请求的URL中存在令牌并且令牌有效，即请求的为<URL 1>？Token＝XXX，而Token＝XXX，设备200将该请求转发至服务器的Web应用，如416所示。Web应用接收到请求后对其进行响应，向客户端浏览器返回请求的资源<URL 1>，如418所示。这时，返回的资源<URL 1>对应的页面的地址中也插入了令牌XXX，即返回的页面对应的地址是<URL 1>？Token＝XXX。

假设用户在资源<URL 1>对应的页面内通过点击链接请求访问资源<URL 2>。根据HTTP协议，这时的请求中会具有Referer头域，以表明访问资源<URL 2>的来源。这时，由于资源<URL 1>对应的页面的地址中已经插入了令牌XXX，即<URL 1>？Token＝XXX，典型的请求将如下所示：

GET<URL 2>

…

Referer:<URL1>？Token＝XXX

…

即，该请求中也插入了令牌XXX，该令牌位于Referer头域，如420所示。

根据本公开的一个或多个实施例，设备200再次拦截该请求(这里是客户端浏览器发送的通过<URL 1>访问<URL 2>的请求)，并验证该请求中请求的URL中是否存在令牌以及令牌是否有效，如422所示。如果请求的URL(这里是URL 2)中不存在令牌而Referer头域中存在令牌并且令牌有效，即Referer:<URL1>？Token＝XXX，并且Token＝XXX，设备200再次将令牌XXX插入到向客户端浏览器返回的响应中，如424所示。根据本公开的一个实施例，设备200向客户端浏览器返回HTTP 307响应，将请求重定向至<URL 2>，并再次插入令牌XXX。该响应典型地如下所示：

HTTP 307 Temporary Redirect

Location:<URL 2>？Token＝XXX

可见，该响应中也插入了令牌XXX，该令牌被插入到用户将再次请求的URL 2中，即<URL 2>？Token＝XXX，如424所示。

客户端浏览器接收到插入了令牌的上述响应之后，请求访问响应中指定的地址<URL 2>，这时的请求典型地如下所示：

GET<URL 2>？Token＝XXX

可见，该请求中请求的URL中也插入了令牌XXX，如426所示。这时，设备200再次拦截该请求，并验证该请求中请求的URL中是否存在令牌以及令牌是否有效。如果请求的URL中存在令牌并且令牌有效，即请求的为<URL 2>？Token＝XXX，而Token＝XXX，设备200将该请求转发至服务器的Web应用，如428所示。Web应用接收到请求后对其进行响应，向客户端浏览器返回请求的资源<URL 2>，如430所示。这时，返回的资源<URL 2>对应的页面的地址中也插入了令牌XXX，即<URL2>？Token＝XXX。

下面简要描述一下根据本公开的一些其他实施方式。根据本公开的一个实施例，用于防止CSRF攻击的设备，包括：请求拦截模块，用于拦截客户端浏览器向服务器发送的请求；令牌读取模块，用于读取客户端浏览器向服务器发送的后续请求中的令牌；令牌验证模块，用于验证客户端浏览器向服务器发送的后续请求中的令牌是否有效。

可选地，用于防止CSRF攻击的设备进一步包括：请求转发模块，用于将客户端浏览器向服务器发送的请求转发到服务器。其中：如果客户端浏览器向服务器发送的请求中请求的URL中存在令牌并且令牌验证模块验证其令牌有效，则：由请求转发模块将后续请求转发到服务器。

可选地，用于防止CSRF攻击的设备进一步包括：响应生成模块，用于生成对请求的响应；令牌插入模块，用于将令牌插入到对请求的响应中；以及响应发送模块，用于向客户端浏览器发送插入了令牌的对请求的响应。其中：如果客户端浏览器向服务器发送的请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：由响应生成模块生成对请求的响应；由令牌插入模块将令牌插入到对请求的响应中；由响应发送模块向客户端浏览器发送插入了令牌的对请求的响应。

可选地，用于防止CSRF攻击的设备进一步包括：请求判断模块，用于判断客户端浏览器向服务器发送的请求是否为Ajax请求。其中：如果请求判断模块确定客户端浏览器向服务器发送的请求是Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：由请求转发模块将请求转发到服务器。其中：如果请求判断模块确定客户端浏览器向服务器发送的请求是非Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：由响应生成模块生成对请求的响应；由令牌插入模块将令牌插入到对请求的响应中；由响应发送模块向客户端浏览器发送插入了令牌的对请求的响应。

根据本公开的一个实施例，用于防止CSRF攻击的方法，包括：拦截客户端浏览器向服务器发送的请求；读取客户端浏览器向服务器发送的请求中的令牌；验证客户端浏览器向服务器发送的请求中的令牌是否有效。

可选地，用于防止CSRF攻击的方法进一步包括：如果客户端浏览器向服务器发送的后续请求中请求的URL中存在令牌并且令牌有效，则：将后续请求转发到服务器。

可选地，用于防止CSRF攻击的方法进一步包括：如果客户端浏览器向服务器发送的请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且令牌有效，则：生成对请求的响应；将令牌插入到对请求的响应中；向客户端浏览器发送插入了令牌的对请求的响应。

可选地，用于防止CSRF攻击的方法进一步包括：判断客户端浏览器向服务器发送的请求是否为Ajax请求。其中：如果客户端浏览器向服务器发送的请求是Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌有效，则：将请求转发到服务器。其中：如果客户端浏览器向服务器发送的请求是非Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌有效，则：生成对请求的响应；将令牌插入到对请求的响应中；向客户端浏览器发送插入了令牌的对请求的响应。

通过以上示例性的描述可以看出，利用本公开的方法和设备，在用户通过客户端浏览器访问资源的请求中被插入了令牌，因而设备200能够通过验证请求中令牌是否有效来确保请求是由用户本人发出的，从而防止了CSRF攻击。

以上结合具体实施例描述了本公开的基本原理，但是，需要指出的是，对本领域的普通技术人员而言，能够理解本公开的方法和装置的全部或者任何步骤或者部件，可以在任何计算装置(包括处理器、存储介质等)或者计算装置的网络中，以硬件、固件、软件或者它们的组合加以实现，这是本领域普通技术人员在阅读了本公开的说明的情况下运用他们的基本编程技能就能实现的。

因此，本公开的目的还可以通过在任何计算装置上运行一个程序或者一组程序来实现。所述计算装置可以是公知的通用装置。因此，本公开的目的也可以仅仅通过提供包含实现所述方法或者装置的程序代码的程序产品来实现。也就是说，这样的程序产品也构成本公开，并且存储有这样的程序产品的存储介质也构成本公开。显然，所述存储介质可以是任何公知的存储介质或者将来所开发出来的任何存储介质。

还需要指出的是，在本公开的装置和方法中，显然，各部件或各步骤是可以分解和/或重新组合的。这些分解和/或重新组合应视为本公开的等效方案。并且，执行上述系列处理的步骤可以自然地按照说明的顺序按时间顺序执行，但是并不需要一定按照时间顺序执行。某些步骤可以并行或彼此独立地执行。

虽然已经详细说明了本公开及其优点，但是应当理解在不脱离由所附的权利要求所限定的本公开的精神和范围的情况下可以进行各种改变、替代和变换。而且，本申请的术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者装置中还存在另外的相同要素。

Claims (25)

1.一种用于防止CSRF攻击的设备，包括：

请求拦截模块，用于拦截客户端浏览器向服务器发送的请求；

令牌生成模块，用于生成令牌；

响应生成模块，用于生成对请求的响应；

令牌插入模块，用于将令牌插入到对请求的响应中；以及

响应发送模块，用于向客户端浏览器发送插入了令牌的对请求的响应。

2.根据权利要求1的设备，其中：

所述响应是HTTP 307响应。

3.根据权利要求1或2的设备，进一步包括：

由请求拦截模块拦截客户端浏览器向服务器发送的后续请求；

令牌读取模块，用于读取客户端浏览器向服务器发送的后续请求中的令牌；

令牌验证模块，用于验证客户端浏览器向服务器发送的后续请求中的令牌是否有效。

4.根据权利要求3的设备，进一步包括：

请求转发模块，用于将客户端浏览器向服务器发送的后续请求转发到服务器。

5.根据权利要求4的设备，其中：

如果客户端浏览器向服务器发送的后续请求中请求的URL中存在令牌并且令牌验证模块验证其令牌有效，则：

由请求转发模块将后续请求转发到服务器。

6.根据权利要求3的设备，其中：

如果客户端浏览器向服务器发送的后续请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：

由响应生成模块生成对后续请求的响应；

由令牌插入模块将令牌插入到对后续请求的响应中；

由响应发送模块向客户端浏览器发送插入了令牌的对后续请求的响应。

7.根据权利要求3的设备，进一步包括：

请求判断模块，用于判断客户端浏览器向服务器发送的后续请求是否为Ajax请求。

8.根据权利要求7的设备，其中：

如果请求判断模块确定客户端浏览器向服务器发送的后续请求是Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：

由请求转发模块将后续请求转发到服务器。

9.根据权利要求7的设备，其中：

如果请求判断模块确定客户端浏览器向服务器发送的后续请求是非Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：

由响应生成模块生成对后续请求的响应；

由令牌插入模块将令牌插入到对后续请求的响应中；

由响应发送模块向客户端浏览器发送插入了令牌的对后续请求的响应。

10.一种用于防止CSRF攻击的方法，包括：

拦截客户端浏览器向服务器发送的请求；

生成令牌；

生成对请求的响应；

将令牌插入到对请求的响应中；以及

向客户端浏览器发送插入了令牌的对请求的响应。

11.根据权利要求10的方法，其中：

所述响应是HTTP 307响应。

12.根据权利要求10或11的方法，进一步包括：

拦截客户端浏览器向服务器发送的后续请求；

读取客户端浏览器向服务器发送的后续请求中的令牌；

验证客户端浏览器向服务器发送的后续请求中的令牌是否有效。

13.根据权利要求12的方法，进一步包括：

如果客户端浏览器向服务器发送的后续请求中请求的URL中存在令牌并且令牌有效，则：

将后续请求转发到服务器。

14.根据权利要求12的方法，进一步包括：

如果客户端浏览器向服务器发送的请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且令牌有效，则：

生成对后续请求的响应；

将令牌插入到对后续请求的响应中；

向客户端浏览器发送插入了令牌的对后续请求的响应。

15.根据权利要求12的方法，进一步包括：

判断客户端浏览器向服务器发送的后续请求是否为Ajax请求。

16.根据权利要求15的方法，其中：

如果客户端浏览器向服务器发送的后续请求是Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌有效，则：

将后续请求转发到服务器。

17.根据权利要求15的方法，其中：

如果客户端浏览器向服务器发送的后续请求是非Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌有效，则：

生成对后续请求的响应；

将令牌插入到对后续请求的响应中；

向客户端浏览器发送插入了令牌的对后续请求的响应。

18.一种用于防止CSRF攻击的设备，包括：

请求拦截模块，用于拦截客户端浏览器向服务器发送的请求；

令牌读取模块，用于读取客户端浏览器向服务器发送的后续请求中的令牌；

令牌验证模块，用于验证客户端浏览器向服务器发送的后续请求中的令牌是否有效。

19.根据权利要求18的设备，进一步包括：

请求转发模块，用于将客户端浏览器向服务器发送的请求转发到服务器。

20.根据权利要求19的设备，其中：

如果客户端浏览器向服务器发送的请求中请求的URL中存在令牌并且令牌验证模块验证其令牌有效，则：

由请求转发模块将后续请求转发到服务器。

21.根据权利要求18的设备，进一步包括：

响应生成模块，用于生成对请求的响应；

令牌插入模块，用于将令牌插入到对请求的响应中；以及

响应发送模块，用于向客户端浏览器发送插入了令牌的对请求的响应。

22.根据权利要求21的设备，其中：

如果客户端浏览器向服务器发送的请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：

由响应生成模块生成对请求的响应；

由令牌插入模块将令牌插入到对请求的响应中；

由响应发送模块向客户端浏览器发送插入了令牌的对请求的响应。

23.一种用于防止CSRF攻击的方法，包括：

拦截客户端浏览器向服务器发送的请求；

读取客户端浏览器向服务器发送的请求中的令牌；

验证客户端浏览器向服务器发送的请求中的令牌是否有效。

24.根据权利要求23的方法，进一步包括：

如果客户端浏览器向服务器发送的后续请求中请求的URL中存在令牌并且令牌有效，则：

将后续请求转发到服务器。

25.根据权利要求23的方法，进一步包括：

如果客户端浏览器向服务器发送的请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且令牌有效，则：

生成对请求的响应；

将令牌插入到对请求的响应中；

向客户端浏览器发送插入了令牌的对请求的响应。

Images