DocumentationAEM 6.5Guide de l’utilisateur

Le framework de protection CSRF the-csrf-protection-framework

Last update: Wed Nov 08 2023 00:00:00 GMT+0000 (Coordinated Universal Time)

Outre le filtre de référent Apache Sling, Adobe fournit également un nouveau framework de protection CSRF pour se protéger contre ce type d’attaque.

Le framework utilise des jetons pour garantir que la demande du client est légitime. Les jetons sont générés lorsque le formulaire est envoyé au client et validé lorsque le formulaire est renvoyé au serveur.

NOTE
Il n’y a aucun jeton sur les instances de publication pour les utilisateurs anonymes.

Conditions requises requirements

Dépendances dependencies

Tout composant qui repose sur la variable granite.jquery La dépendance peut bénéficier automatiquement de la structure de protection CSRF. Dans le cas contraire, pour l’un de vos composants, vous devez déclarer une dépendance à granite.csrf.standalone avant de pouvoir utiliser la structure.

Réplication de la clé de chiffrement replicating-crypto-keys

Pour utiliser les jetons, vous devez répliquer le binaire HMAC sur toutes les instances de votre déploiement. Voir Répliquer la clé HMAC pour plus d’informations.

NOTE
Veillez également à Modifications de la configuration de Dispatcher pour utiliser la structure de protection CSRF.
NOTE
Si vous utilisez le cache de manifeste avec votre application web, veillez à ajouter "*" au manifeste pour s’assurer que le jeton ne prend pas l’appel de génération de jeton CSRF hors ligne. Pour plus d’informations, consultez ce lien.
Pour plus d’informations sur les attaques CSRF et les moyens de s’en protéger, consultez la page Cross-Site Request Forgery OWASP.
recommendation-more-help
19ffd973-7af2-44d0-84b5-d547b0dffee2