Protection des formulaires contre les CSRF (cross-site request forgery)

Pour se protéger des injections de requêtes illégitimes par rebond (cross-site request forgery ou CSRF), il est proposé de créer et d'envoyer avec chaque formulaire une valeur aléatoire et limitée à la session utilisateur et à l'action. Le serveur doit vérifier que cette valeur est bien renvoyée dans la requête de validation du formulaire. Pour cela il faut :

• Ajouter le token dans l'objet model pour le template :

model.put( SecurityTokenService.MARK_TOKEN, SecurityTokenService.getInstance( ).getToken( request, ACTION_TEMPLATE ) );

• Ajouter le champ token dans le formulaire de la template :

<input type="hidden" name="token" value="${token}">

• Contrôler ensuite la requête :

// CSRF Token control
        if ( !SecurityTokenService.getInstance( ).validate( request, ACTION_TEMPLATE ) )
        {
            throw new AccessDeniedException( "Invalid security token" );
        }