[发明专利]一种用于防止CSRF攻击的方法和设备

权利要求书

1.一种用于防止CSRF攻击的设备，包括：

请求拦截模块，用于拦截客户端浏览器向服务器发送的请求；

令牌生成模块，用于生成令牌；

响应生成模块，用于生成对请求的响应；

令牌插入模块，用于将令牌插入到对请求的响应中；以及

响应发送模块，用于向客户端浏览器发送插入了令牌的对请求的响应。

2.根据权利要求1的设备，其中：

所述响应是HTTP 307响应。

3.根据权利要求1或2的设备，进一步包括：

由请求拦截模块拦截客户端浏览器向服务器发送的后续请求；

令牌读取模块，用于读取客户端浏览器向服务器发送的后续请求中的令牌；

令牌验证模块，用于验证客户端浏览器向服务器发送的后续请求中的令牌是否有效。

4.根据权利要求3的设备，进一步包括：

请求转发模块，用于将客户端浏览器向服务器发送的后续请求转发到服务器。

5.根据权利要求4的设备，其中：

如果客户端浏览器向服务器发送的后续请求中请求的URL中存在令牌并且令牌验证模块验证其令牌有效，则：

由请求转发模块将后续请求转发到服务器。

6.根据权利要求3的设备，其中：

如果客户端浏览器向服务器发送的后续请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：

由响应生成模块生成对后续请求的响应；

由令牌插入模块将令牌插入到对后续请求的响应中；

由响应发送模块向客户端浏览器发送插入了令牌的对后续请求的响应。

7.根据权利要求3的设备，进一步包括：

请求判断模块，用于判断客户端浏览器向服务器发送的后续请求是否为Ajax请求。

8.根据权利要求7的设备，其中：

如果请求判断模块确定客户端浏览器向服务器发送的后续请求是Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：

由请求转发模块将后续请求转发到服务器。

9.根据权利要求7的设备，其中：

如果请求判断模块确定客户端浏览器向服务器发送的后续请求是非Ajax请求，并且请求的URL中不存在令牌而Referer头域中存在令牌并且令牌验证模块验证其令牌有效，则：

由响应生成模块生成对后续请求的响应；

由令牌插入模块将令牌插入到对后续请求的响应中；

由响应发送模块向客户端浏览器发送插入了令牌的对后续请求的响应。

10.一种用于防止CSRF攻击的方法，包括：

拦截客户端浏览器向服务器发送的请求；

生成令牌；

生成对请求的响应；

将令牌插入到对请求的响应中；以及

向客户端浏览器发送插入了令牌的对请求的响应。

11.根据权利要求10的方法，其中：

所述响应是HTTP 307响应。

12.根据权利要求10或11的方法，进一步包括：

拦截客户端浏览器向服务器发送的后续请求；

读取客户端浏览器向服务器发送的后续请求中的令牌；

验证客户端浏览器向服务器发送的后续请求中的令牌是否有效。

13.根据权利要求12的方法，进一步包括：

如果客户端浏览器向服务器发送的后续请求中请求的URL中存在令牌并且令牌有效，则：

将后续请求转发到服务器。

14.根据权利要求12的方法，进一步包括：

如果客户端浏览器向服务器发送的请求中请求的URL中不存在令牌，而Referer头域中存在令牌并且令牌有效，则：

生成对后续请求的响应；

将令牌插入到对后续请求的响应中；

向客户端浏览器发送插入了令牌的对后续请求的响应。