CSRF漏洞1.CSRF的概念1.1什么是CSRF？1.2基本攻击流程2.CSRF攻击实现2.1靶场练习2.2CSRF+XSS组合拳2.2.1攻击页面部署2.2.2构造恶意xss语句，实现重复生效的CSRF3.CSRF攻击的防御**3.1只使用JSONAPI****3.2验证HTTPReferer字段****3.3在请求地址中添加token验证**本文从CSRF的定义，攻击流程、利用方案、修复方案等几个流程为大家讲解究竟什么是CSRF。1.CSRF的概念1.1什么是CSRF？CSRF全称为跨站请求伪造（Cross-siterequestforgery），是一种网络攻击方式，也被称为one-cl
CSRF漏洞1.CSRF的概念1.1什么是CSRF？1.2基本攻击流程2.CSRF攻击实现2.1靶场练习2.2CSRF+XSS组合拳2.2.1攻击页面部署2.2.2构造恶意xss语句，实现重复生效的CSRF3.CSRF攻击的防御**3.1只使用JSONAPI****3.2验证HTTPReferer字段****3.3在请求地址中添加token验证**本文从CSRF的定义，攻击流程、利用方案、修复方案等几个流程为大家讲解究竟什么是CSRF。1.CSRF的概念1.1什么是CSRF？CSRF全称为跨站请求伪造（Cross-siterequestforgery），是一种网络攻击方式，也被称为one-cl
LoginController类具体代码/***app登录*/@AnonymousAccess@PostMapping("login")publicAjaxResultlogin(@RequestBodyLoginBodyloginBody){AjaxResultajax=AjaxResult.success();//生成令牌Stringtoken=loginService.login(loginBody.getUsername(),loginBody.getPassword());ajax.put(Constants.TOKEN,token);returnajax;}登录校验——AppLog
LoginController类具体代码/***app登录*/@AnonymousAccess@PostMapping("login")publicAjaxResultlogin(@RequestBodyLoginBodyloginBody){AjaxResultajax=AjaxResult.success();//生成令牌Stringtoken=loginService.login(loginBody.getUsername(),loginBody.getPassword());ajax.put(Constants.TOKEN,token);returnajax;}登录校验——AppLog
基于redis的认证方式分析redis解决短信验证码时效性，以及使用token的方式判断是否登录的问题。(没用jwt)这里面使用两个拦截器的方式解决：1.给token有效期刷新2.判断用户是否已登录目前验证用户是否已登录，仍然是用到redis和服务端程序去判断，这个和使用session的判断方式有点相似，因为也会用到服务端资源。但是token与session还是有非常大的不同，认证通过后，(认证信息)session都是保存在内存中（服务端服务器中）占内存，如果是分布式的架构，那么也会影响性能。而对于token的方式，认证通过后，(认证信息)token都是保存在redis中的，即使是分布式系统，
基于redis的认证方式分析redis解决短信验证码时效性，以及使用token的方式判断是否登录的问题。(没用jwt)这里面使用两个拦截器的方式解决：1.给token有效期刷新2.判断用户是否已登录目前验证用户是否已登录，仍然是用到redis和服务端程序去判断，这个和使用session的判断方式有点相似，因为也会用到服务端资源。但是token与session还是有非常大的不同，认证通过后，(认证信息)session都是保存在内存中（服务端服务器中）占内存，如果是分布式的架构，那么也会影响性能。而对于token的方式，认证通过后，(认证信息)token都是保存在redis中的，即使是分布式系统，
使用Django编写的B/S应用通常会使用Cookie+Session的方式来做身份验证，用户登录信息存储在后台数据库中，前端Cookie也会存储少量用于身份核验的数据，由后台直接写入。但是在开发调试阶段，使用Postman等请求工具请求登录时，可能会缺失前端本应存储的数据，而导致登录信息核验一直不成功。在本地联调前后端时可能也会有问题。本篇介绍基于Token的身份验证机制，并使用Vue和Django实现。基于Token的验证流程与Session不同的是，Token机制不会将用户登录信息存储在后台数据库中，而是生成含有身份信息的Token字符串存储在前端中。在前端请求需要验证的后台API时，后
使用Django编写的B/S应用通常会使用Cookie+Session的方式来做身份验证，用户登录信息存储在后台数据库中，前端Cookie也会存储少量用于身份核验的数据，由后台直接写入。但是在开发调试阶段，使用Postman等请求工具请求登录时，可能会缺失前端本应存储的数据，而导致登录信息核验一直不成功。在本地联调前后端时可能也会有问题。本篇介绍基于Token的身份验证机制，并使用Vue和Django实现。基于Token的验证流程与Session不同的是，Token机制不会将用户登录信息存储在后台数据库中，而是生成含有身份信息的Token字符串存储在前端中。在前端请求需要验证的后台API时，后
前言书接上文技术选型篇，我们做了【用户身份认证】的技术选型说明，对基于Session、Token、JWT的方案进行了详细的对比分析，详细说明了它们都是什么和各自的优缺点！这些是实战的基础，还没看过的同学，建议先看上文。最终采用的是目前流行的基于JWT的Token用户身份认证机制！本文是实战核心篇，重点是把JWT的核心代码实现！基于上文我们分析的【用户身份认证】的流程，我们可以确定使用JWT的核心是实现两点：生成Token、校验Token！接下来我们就来实现它！本文对应的思维导图：专栏介绍因为可能还有很多同学还不清楚上下文，所以简单介绍一下这个专栏要做的事：天罡老哥和狗哥(
前言书接上文技术选型篇，我们做了【用户身份认证】的技术选型说明，对基于Session、Token、JWT的方案进行了详细的对比分析，详细说明了它们都是什么和各自的优缺点！这些是实战的基础，还没看过的同学，建议先看上文。最终采用的是目前流行的基于JWT的Token用户身份认证机制！本文是实战核心篇，重点是把JWT的核心代码实现！基于上文我们分析的【用户身份认证】的流程，我们可以确定使用JWT的核心是实现两点：生成Token、校验Token！接下来我们就来实现它！本文对应的思维导图：专栏介绍因为可能还有很多同学还不清楚上下文，所以简单介绍一下这个专栏要做的事：天罡老哥和狗哥(
