部署Owasp CSRFGuard 3.0.0时JavaScript编译错误求助

你遇到的核心问题是Owasp.CsrfGuard.js中的模板变量（比如%DOMAIN_STRICT%）没有被JavaScriptServlet正确替换，导致浏览器解析JS时遇到非法的%字符抛出错误。结合Weblogic 12.2.1.2的环境，我们可以从以下几个方面排查和解决：

1. 确保CSRFGuard核心配置文件存在并正确配置 #

你需要在WEB-INF目录下创建（或检查）Owasp.CsrfGuard.properties文件——这是CSRFGuard的核心配置源，JavaScriptServlet会从这里读取变量值来替换JS模板中的占位符。

关键配置项示例：

# 指定JS模板文件路径
org.owasp.csrfguard.JavascriptServlet.source-file=/WEB-INF/Owasp.CsrfGuard.js
# 对应你Servlet配置中的参数
org.owasp.csrfguard.JavascriptServlet.inject-into-forms=true
org.owasp.csrfguard.JavascriptServlet.inject-into-attributes=false
# 对应JS中的%DOMAIN_STRICT%变量
org.owasp.csrfguard.domainStrict=true
# 对应%REFERER_PATTERN%变量
org.owasp.csrfguard.refererPattern=.*

2. 修正JS文件的引用方式 #

绝对不能直接引用WEB-INF下的Owasp.CsrfGuard.js文件——WEB-INF目录是服务器保护目录，浏览器无法直接访问，且原文件包含未替换的模板变量。你必须通过配置的Servlet映射路径来获取处理后的JS：

在页面中应该这样引入：

<script src="/你的应用上下文路径/JavaScriptServlet"></script>

比如你的应用上下文是myapp，就写/myapp/JavaScriptServlet。你可以直接在浏览器中访问这个URL，查看返回的JS内容，如果%DOMAIN_STRICT%已经被替换成true，说明Servlet工作正常。

3. 检查Weblogic对Servlet的加载和资源访问权限 #

Weblogic 12.2.1.2有一些特殊的配置限制需要注意：

• 确认CSRFGuard的jar包（比如csrfguard-3.0.0.jar、csrfguard-servlet-3.0.0.jar等）已正确放置在WEB-INF/lib目录下，不要放在Weblogic服务器的全局lib目录中，避免类加载冲突。
• 查看Weblogic日志（比如servers/你的服务器名称/logs/你的服务器名称.log），排查是否有JavaScriptServlet初始化失败的报错，比如找不到类、无法读取WEB-INF下的文件等。
• 如果Weblogic开启了严格的资源访问控制，可在web.xml中添加对Servlet路径的安全约束，确保允许访问：

  <security-constraint>
      <web-resource-collection>
          <web-resource-name>CSRFGuard JS Servlet</web-resource-name>
          <url-pattern>/JavaScriptServlet</url-pattern>
      </web-resource-collection>
      <auth-constraint>
          <role-name>*</role-name>
      </auth-constraint>
  </security-constraint>
  

4. 验证Servlet初始化参数的优先级 #

虽然你在web.xml中配置了Servlet的初始化参数，但CSRFGuard会优先读取Owasp.CsrfGuard.properties中的配置。确保两者配置一致，避免出现参数覆盖的情况。比如如果properties中domainStrict设为false，即使Servlet参数设为true，最终替换的值还是false。

5. 清理Weblogic缓存并重新部署 #

Weblogic有时会缓存旧的资源或配置，导致新配置不生效。你可以：

• 停止服务器，删除servers/你的服务器名称/tmp和servers/你的服务器名称/cache目录下的内容。
• 重新打包并部署应用，确保所有新的配置文件和jar包都被正确加载。

按照以上步骤排查后，应该能解决JS中%标记的错误，让CSRFGuard的JavaScript正常工作。

内容的提问来源于stack exchange，提问作者user2946044