先来说说我的项目：
项目基于jsp开发，采用struts2+mybatis+spring三大框架。
由于事先做好了前端页面，是纯html，出于懒惰，暂且不想转化成jsp页面，所以用js来对其动态化尝试。
尝试包括：
1）表单提交：利用JQuery.ajax()提交表单到后台action，这里取代了form提交表单；
2）读取用户个人数据：同样也是用JQuery.ajax()方法：提交空值>>通过cookie中sessionid保持session>>session中存在用户的ID>>服务器根据用户ID返回特定用户的数据
困惑：
现在业务功能可以基本实现，能够保证让服务器识别到是哪个用户，但是还没设置token，所以暂时没办法确保用户是在特定页面提交的参数，这样也就给CSRF攻击提供了机会，这点经网友指正我已经认识到。
此外的问题就是：
1）js配合纯静态html于长远看，是否有前途？html纯静态页配合js动态化只是我的一个尝试，如果不好我并不会坚持；
2）为了防止CSRF攻击我还应该采取什么措施？
3）除了CSRF我还应该注意什么？
先谢谢各位！
项目基于jsp开发，采用struts2+mybatis+spring三大框架。
由于事先做好了前端页面，是纯html，出于懒惰，暂且不想转化成jsp页面，所以用js来对其动态化尝试。
尝试包括：
1）表单提交：利用JQuery.ajax()提交表单到后台action，这里取代了form提交表单；
2）读取用户个人数据：同样也是用JQuery.ajax()方法：提交空值>>通过cookie中sessionid保持session>>session中存在用户的ID>>服务器根据用户ID返回特定用户的数据
困惑：
现在业务功能可以基本实现，能够保证让服务器识别到是哪个用户，但是还没设置token，所以暂时没办法确保用户是在特定页面提交的参数，这样也就给CSRF攻击提供了机会，这点经网友指正我已经认识到。
此外的问题就是：
1）js配合纯静态html于长远看，是否有前途？html纯静态页配合js动态化只是我的一个尝试，如果不好我并不会坚持；
2）为了防止CSRF攻击我还应该采取什么措施？
3）除了CSRF我还应该注意什么？
先谢谢各位！
1
Select Language