如何在Liferay中启用CSRF保护

Question

3

我正在尝试在Liferay 6.1中启用CSRF。我已将以下内容添加到portal-ext.properties文件中：

auth.token.check.enabled=true
auth.token.impl=com.liferay.portal.security.auth.SessionAuthToken

我也在portlet.xml中有这个。

<init-param>
    <name>check-auth-token</name>
    <value>true</value>
</init-param>

然而我无法看到应该出现在URL中的p_auth参数。我需要做些什么才能让它起作用？

- steven35

1

CSRF保护默认启用所有ACTION请求（除了language门户）。 - Pavel Horal

它被别人关闭了，我不得不重新启用它。 - steven35

然后只需删除配置。 - Pavel Horal

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Haris · Accepted Answer

以上配置看起来很好，可以启用身份验证令牌。

所有ACTION请求都会添加p_auth参数，但仍然可以使用属性“auth.token.ignore.actions”配置操作以跳过身份验证令牌。

请确保您检查p_auth的URL是操作URL，而不包括在指定为auth.token.ignore.actions的操作中。