ブラウザアドレスバーからのURL直接入力を防ぎたい

質問

javaとstruts1.2でWebシステムの開発をしています。
セキュリティ要件で、ブラウザからのURL直接入力をエラーとするチェックをしなければならないのですが、下記のような場合でも正しくチェックできるような方法が見つからず、困っています。
refererによるチェックや、GETパラメタを無効とするなどの方法がネット上には出ていましたが、どれも、適応できない場合があるとのことでした。

以下、詳細な条件になります。

・携帯からのアクセスも考慮し、Cookieやjavascriptが無効なブラウザからでも利用可能なシステム。
・アンカータグによる画面遷移があるため、POST、GETの両方受付可能なシステム。
・未ログイン状態でアクセスすると、セッションがない旨のエラーではじくことができるため、ログイン後に正規の画面遷移順に従わない画面にいきなりジャンプされることを防ぐのが主たる目的となる。

このような条件下でブラウザのアドレスバーからの直接入力をチェックできる良い方法がありましたら、ご教授いただきたいです。

以上、長文になってしまいましたが、よろしくお願いいたします。

回答No.1

noname#155524

脆弱性の一つです。
クロスサイトリクエストフォージェリー(CSRF)で検索して見てください。

補足

ご回答ありがとうございます。
現在、CSRF対策として、更新系の画面にだけはワンタイムトークンを採用していますが、厳密には、これを参照系画面にも採用すべきということでしょうか。

以上、ご検討の程、よろしくお願いいたします。