Rutakeの技術メモ

二重送信を防いでくれる同期トークン。いろいろ議論はあるがCSRF対策にもなるだろう。
お手軽にできるのだが、タブブラウザ全盛時代には使用上の注意がある。
同期トークンの仕組みはHIDDENの値とセッションの値が同一であることを比較する。
つまりセッションに入った値が空もしくは別のトークンであればエラーとなる。
ここに問題があり、同一セッションを持つブラウザで別のトークンを発行した時点で、以前発行されたトークンはセッションから追い出されて処理が継続できない。
これが作られた時点ではあまり問題にならなかったのだろうけど、今はタブブラウザ全盛だからな。
改良の余地あり。

これもよく遭遇するといえば遭遇するエラー

エラーメッセージの日本語訳が微妙なのと、該当コンテキスト以外はTomcatが正常に動いており、404を返すのでなんで？？と思ってしまいがち。

症状

1.該当コンテキストにアクセスすると404ページが表示される
2.Tomcatのexampleなど他のコンテキストは動いている

原因
web.xmlやfilterなどの設定がおかしいためこのコンテキストの初期化に失敗しており、その場合Tomcatはそのコンテキストが存在しないものとして扱う。

1.web.xmlや設定ファイルなどがxmlとしておかしい
2.web.xmlの記述が誤っている
3.web.xmlでコンテキスト全体にかかる設定がおかしい（フィルターなどクラスファイルが記述されている場合にスペルミスをするとClassNotFoundExceptionがでたりする）

対策

1.設定ファイル(XML系)は変更前にバックアップ
2.Tomcatの起動ログでExceptionが出ていないことを確認。コンテキストの起動に失敗した場合は必ず致命的エラーがでているはず。