在JSP中防止跨域提交数据（Cross-Site Request Forgery, CSRF）的一种常见方法是通过在服务器端和客户端之间实施一种验证机制，以确保请求是用户真正意图发起的，而不是由第三方网站伪造的。以下是一种实现方式：
### 服务器端实现
1. **生成令牌（Token）**：在用户的会话（Session）或作为隐藏字段嵌入到表单中生成一个唯一的、难以预测的值（令牌）。
2. **在表单中包含令牌**：将令牌作为表单的一个隐藏字段包含进去，或者作为查询字符串的一部分（不推荐，因为查询字符串可能会出现在URL中，容易被日志记录）。
3. **验证令牌**：在服务器端接收请求时，检查请求中是否包含有效的令牌，并且该令牌是否与会话中存储的令牌相匹配。
#### 示例代码
这里是一个简单的JSP示例，展示了如何在表单中包含令牌并在服务器端进行验证：
**生成令牌并存储在Session中（可以在Servlet或JSP的某个地方执行）**
// 假设你已经有一个HttpServletRequest和HttpSession对象
String token = UUID.randomUUID().toString(); // 生成一个唯一的令牌
session.setAttribute("csrfToken", token); // 将令牌存储在Session中
**在JSP表单中包含令牌**
p
<form action="submitAction" method="post">
<!-- 其他表单字段 -->
<input type="hidden" name="csrfToken" value="${csrfToken}"> <!-- 假设csrfToken已通过某种方式（如EL表达式）暴露给JSP -->
<input type="submit" value="Submit">
</form>
**在服务器端验证令牌**
// 假设这是处理表单提交的Servlet代码
protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
String submittedToken = request.getParameter("csrfToken");
String sessionToken = (String) request.getSession().getAttribute("csrfToken");
if (submittedToken == null || !submittedToken.equals(sessionToken)) {
// 令牌验证失败，可能是CSRF攻击
response.sendError(HttpServletResponse.SC_FORBIDDEN, "Invalid CSRF token");
return;
}
// 令牌验证成功，继续处理表单数据
// ...
}
### 客户端实现
虽然主要的防护工作是在服务器端完成的，但客户端也可以采取一些措施来增加安全性，如使用HTTPS来加密客户端和服务器之间的通信，减少中间人攻击的风险。
### 注意事项
- 确保令牌足够随机和难以预测，以抵御猜测攻击。
- 令牌应该是一次性的或具有较短的生存期，并在每次请求后更新（或至少对于敏感操作如此）。
- 在分布式系统中，如果多个服务器实例共享Session，请确保Session数据在所有实例之间都是同步的。
通过上述方法，你可以在JSP应用中有效地防止跨域提交数据（CSRF）攻击。