dwr的A request has been denied as a potential CSRF attack.错误

   虽然DWR是个很早就出现的Ajax框架，但一直都没去使用过，今天正好没事就看了一下并参照文档照做了个demo，

在其中碰到一个问题： 

   后台打印出错误信息：“严重: A request has been denied as a potential CSRF attack.” 在网上google一把

之后，出现此错误的原因大都是说“请求被拒绝，可能存在csrf(cross-site request forgeries,跨站请求伪造)攻击、

页面URL可能被跨站了的服务所调用之类的”，但是我这里只有一个简单的测试页面，是根本不存在什么所谓的跨站请求的，

但不知道为什么？希望有知道的朋友告诉一下我，万谢！

 

   不过最后还是通过网上搜索给解决了，得到以下两种解决方案：

   1、在web.xml配置文件中修改dwr的配置：

<servlet>
 <servlet-name>dwr-invoker</servlet-name>
  <servlet-class>org.directwebremoting.servlet.DwrServlet</servlet-class>
  <init-param>
   <param-name>debug</param-name>
   <param-value>true</param-value>
  </init-param>
  <!-- 新加corssDomainSessionSecurity参数 -->
  <init-param>   
            <param-name>crossDomainSessionSecurity</param-name>   
            <param-value>false</param-value>   
    </init-param>
 </servlet>

   据说参数corssDomainSessionSecurity是在dwr版本2.0才有的.默认值为true,也就是禁止其他域发送请求.若设置成false后，就能够从其他域进行请求但这样做会在安全性上有一些冒险.

 

   2、将JSP文件中所引用的js文件engine.js的方式，由<script type="text/javascript" src="js/engine.js"></script> 更改成:<script type="text/javascript" src="dwr/engine.js"></script>。不知道为什么这样就可以啦，而

引用js目录下就会报错。希望有知道朋友，不吝赐教，在下感激不尽！

 

 

评论

5 楼 songbgi 2012-12-21  

  tomcat6没问题 7就出问题了

4 楼 jiangkan12 2011-12-30  

关于第2点，是因为engine.js已经封装在dwr的jar包里了，默认是可以引用到的

3 楼 yuanlei18 2011-04-10  

刚好遇到这个问题，不过学校里好像没出现这样的问题，不知道怎么回事？？

2 楼 沈冠军 2011-04-05  

1 楼 bevis.cn 2010-01-08  

在我的一个网站中，平时都好好的，可是放到客户的server上的时候，就要在网页中弹出access is denied的错误，
后来我查看了日志，
日志里也有一条语句“ A request has been denied as a potential CSRF attack”

我也奇怪，我哪里有Cross domain都不知道，晕了