где мы должны помещать переменную HIDDEN в JSP

Question

Мне нужно использовать скрытые переменные в моем JSP для отслеживания сеанса. Это код:

<input type="hidden" name="REQ_TOKEN" value="<%=session.getAttribute("SESN_TOKEN").toString()%>" /> 

Я использую это, чтобы сравнить маркер запроса с маркерами сеанса, поэтому только тогда, когда оба равен я буду оценивать эту просьбу иначе я выдам ошибку.

Теперь проблема в том, что я размещаю этот код внутри тегов <form></form>, он отлично работает. К сожалению, в моем приложении есть некоторые JSP, где у нас нет тега <form> (я знаю, это звучит странно!). Где я могу разместить свой код так, чтобы он работал?

Могу ли я использовать скрытые переменные без знака <form>?

Answer 1

Похоже, что скрытое значение, которое вы описываете, является тем, что чаще всего называют nonce, которое (при разговоре о веб-формах) является значением, используемым для проверки того, что форма отправляется только один раз, а также тот же сеанс, который запросил форму. См. Эти примечания по предотвращению cross-site request forgery.

Во-первых, как вы отправляете запросы без <form>? Является ли пользователь просто нажатием на ссылку? Если это так, вы можете добавить nonce к строке запроса, но если вы используете запросы GET для чего-то разрушительного, что на самом деле требует проверки nonce, вы делаете это неправильно. Эти типы запросов должны быть сделаны только через POST, что подразумевает создание <form method="post">.

Во-вторых, нет, вы не можете использовать <input type="hidden" /> вне формы. Данная форма только представляет свои собственные значения, то есть элементы между <form> и </form>.

Если вы хотите, чтобы ваше скрытое значение включалось в отправленные данные назад, ваш должен включать скрытый ввод в отправляемой форме. Если, как вы говорите, вы не можете включить теги <form> в свои JSP-файлы, вы можете динамически выполнить запрос через Javascript, но это вводит зависимость от Javascript, которую вы должны избегать для чего-то такого простого и фундаментального.

Answer 2

Насколько я знаю, вам нужно иметь скрытое поле в теге формы, чтобы он работал правильно. Все еще глядя вверх, будет repost. До сих пор сайты, которые я нашел, говорят, что они должны быть в форме.

EDIT * roseindia.net/jsp/jspsession/HiddenForm

Answer 3

Если это только для предотвращения CSRF, то вам не нужно вообще на бесформенных страницах. Просто потому, что нечего защищать :) Дело в том, чтобы включить его в каждый <form method="post">, а не в каждом странице.

Это говорит о том, что «отслеживание сеанса» - это совершенно другая концепция. HttpSession уже делает это за кулисами с помощью перезаписи файлов cookie или URL. Вот почему я сначала изложил ваш вопрос в замешательстве и опубликовал комментарий для разъяснения. Здесь вы просто хотите «отслеживать запрос» с помощью маркера, основанного на запросе, который вы храните в области сеанса (и сразу же удаляете после прохождения запроса), чтобы предотвратить CSRF.

Обновление: вы можете найти this answer, чтобы узнать больше о том, что такое CSRF.