過頁頭生成Token,進行請求驗證,解決Ajax請求安全問題。目前為止我做的最多的防止ajax請求攻擊的就是添加驗證碼、添加隨機Token,限制同一請求在規定時間內的最大請求數。
下面重點說說添加隨機Token限制：
token是為了防止表單重復提交，token 原理大致為：
1：顯示表單的那個 action 中使用 createToken() 生成一個隨機的 token值，并存放在服務端(session或者cache中)，并且傳遞一份到頁面中
2：表單頁面使用一個隱藏表單域獲取后端傳過來的 token值，該表單頁面提交時會將此 token 值一同提交到后端
3：在表單頁面提交到的 actioin 中使用 validateToken() 將服務端與表單隱藏域中的 token 值進行對比，如果服務端存在 token值并且與表單提交過來的值相等，證明是第一次提交。
4：每次校驗過后服務端的 token 值會立即被清除，所以當用戶重復提交時，后面的提交校驗都再也無法通過。從而實現了防止重復提交的功能，validateToken 是在 synchronized 塊中執行的保障了多線程下的安全性。
token 會優先存入 me.setTokenCache(ITokenCache) 指定的 TokenCache 中，如果未指定則默認使用 session 來存放
但是這種機制是有問題的，比如我是用ajax提交表單，提交完成以后表單頁面并不刷新，然后我修改了部分數據以后再次提交頁面，那么token還是之前的那個token，后臺會以為這個為重復提交不能通過校驗，那么請求就不能完成，數據無法得到正確的處理。我認為合理的機制應該是這樣的：
1：顯示表單的那個 action 中使用 createToken() 生成一個隨機的 token值，并且傳遞一份到頁面中
2：表單頁面使用一個隱藏表單域獲取后端傳過來的 token值，該表單頁面提交時會將此 token 值一同提交到后端
3：將提交過來的token值放入session或者cache中，然后執行controller中的代碼，代碼全部執行完以后，再把存入session或cache中的token值刪除掉；驗證用戶是否為重復提交只需要驗證提交過來的token是否存在于session或cache中，有則為重復提交，無則為正常提交。
4：該邏輯應該可以寫成一個Interceptor,在需要的地方加上，或者直接設為全局攔截器都是可以的，簡單，快捷；