Tarayıcılar Geri düğmesi CSRF Önleme Mechanisam ile sorunlar

Question

Eski başvuru formumu CSRF'yi korumak için OWASAP mekanizmasını kullanmayı denedim, ancak gezinme ve geri düğmesiyle ilgili sorunlarım var. Daha sonra struts-1 jeton mekanizmasını kullanmayı denedim ama aynı sorunla karşı karşıya kaldım. Jeton enjeksiyon mekanizması ile düşündüğüm problem başlangıçta jsp'de bir jeton oluşturacağız ve oturumda saklayacağız ve bir miktar eylem gerçekleştireceğiz.

A.Asp. jsp'de jeton değeri 1'i alalım ve aynı seansta saklayacağız. Şimdi bunu filtre/Eylem sınıfında doğrulayacağız. Bundan sonra, B.jsp'de başka bir işlem yapacağız ve jsp ve oturumda yeni 2 değerini belirleyeceğiz. Doğrulama formu sunucusundan sonra, oturumda 2. değere sahip olacağız. Şimdi tarayıcıların geri düğmesini kullanarak gezinir ve sayfa 1'e gidip gönderirsek, değerleri önbellekten yükler ve A.jsp değeri 1 değerini simge olarak gösterir, Bu noktada A.jsp'yi gönderdikten sonra CSRF hatası, oturumdaki değerle çelişiyor.

Uygulamayı gerçekten rahatsız etmeden CSRF önleme mekanizmasının uygulanmasının bir yolu var mı?

Answer 1

Sorununuzu doğru bir şekilde anladıysam, geri düğmesine basıldığında, önbellekten eski belirteçle sayfa alırsınız? Eğer doğruysa, o zaman bu problemi çözmenin kolay bir yolu vardır - sayfalarınızı önbelleğe almayın ve sunucudan her zaman yükleyin.

O şu cevabı başlıklarını

Cache-Control: max-age=0, no-cache, must-revalidate 

Diğer, daha zor yol ayarlayarak elde edilebilir, tek sayfa uygulaması gerçekleştirmek için bu durumda her zaman tarayıcı belleğinde gerçek belirteci gerekecek olduğunu.