跨站点请求伪造

原创已于 2022-04-29 22:45:55 修改 · 4.8k 阅读

2 ·

本内容遵循CC 4.0 BY-SA版权协议

个人博客地址：https://wuliqun.cn/ 所有博客内容由本人拥有解释权，著作权

收录于

理论建设

于 2022-04-15 11:22:04 首次发布

跨站点请求伪造

一、出现的问题
二、解决方法

上个星期，需要进行环境的压力测试，以及安全报告测试，然后就弹出以下问题，解决问题之后，在博客上进行以下备注，以供后台的学习和各位小伙伴的使用。

一、出现的问题

问题出现在哪里，项目后台使用SpringBoot，前端使用Vue的Nuxt框架，后端没有问题的同时，前端出现了js可以进行模拟合法用户访问的问题，因为我们访问项目时候是通过Nginx进行代理访问，所以通过查询资料，知道了解决问题方法，就是在nignx.conf文件进行修改。

在这里插入图片描述

二、解决方法

想法：因为提示Referer进行模拟请求头，所以我们直接不让他请求除了本机地址和百度之外的认识数据信息，这样其实我们就可以基本解决所有问题了。

解决方法：在nginx配置中写入以下文件

server {
        listen       80;
        server_name  localhost;
	    #server_name  www.xxx.com;
        client_max_body_size 1000M;

        #charset koi8-r;
	    charset utf-8;
        #### http_referer fix xxx.xxx.xxx.xxx：表示需要服务器的IP
        if ($http_Host !~* ^127.0.0.1$|^xxx.xxx.xxx.xxx$) {
            return   403;
        }
        #### http_referer fix xxx.xxx.xxx.xxx：表示需要服务器的IP
        valid_referers none blocked server_names xxx.xxx.xxx.xxx *.baidu.com;
        if ($invalid_referer) {
           return  403;
        }

        location / {
            rewrite ^(.*)$ https://xxx.xxx.xxx.xxx$1 permanent;
        }
   
        error_page   500 502 503 504  /50x.html;
        location = /50x.html {
            root   html;
        }       
    }