Spring RestController 需要 CSRF

Question

我已经构建了一个 RestController，它应该可以帮助管理 Web 应用程序中的标签。我将通过 AJAX（使用 JQuery）调用所有方法，但 Spring-Boot 的默认安全性会导致以下结果（从 Postman 调用时）：

{ “时间戳”：1438800538949， “状态”：403， “错误”：“禁止”， "message": "在请求参数 '_csrf' 或标头 'X-CSRF-TOKEN' 上发现无效的 CSRF Token 'null'。", “路径”：“/标签/添加” }

获取 CSRF 令牌以执行 JQuery 调用的最佳方法是什么？我认为这比禁用它更好。在 PostMan 中使用时会怎样？

这是控制器的代码：

@RestController
public class TagController {

@Autowired
private TagService tagService;

@RequestMapping(name = "/tag/list", method = RequestMethod.GET, produces = MediaType.APPLICATION_JSON_VALUE)
public ResponseEntity<TagList> getTagList() {
    TagList result = new TagList(tagService.list());
    return new ResponseEntity<TagList>(result, HttpStatus.OK);
}

@RequestMapping(name = "/tag/add", method = RequestMethod.POST, produces = MediaType.APPLICATION_JSON_VALUE)
public ResponseEntity<?> addTag(@RequestBody AlterTagForm form) {
    try {
        tagService.addTag(form.getArticleId(), form.getTagName());
        return new ResponseEntity<>(HttpStatus.ACCEPTED);
    } catch (EntityNotFoundException ex) {
        return new ResponseEntity<>(HttpStatus.NOT_FOUND);
    }
}

@RequestMapping(name = "/tag/remove", produces = MediaType.APPLICATION_JSON_VALUE)
public ResponseEntity<?> removeTag(@RequestBody AlterTagForm form) {
    try {
        tagService.removeTag(form.getArticleId(), form.getTagName());
        return new ResponseEntity<>(HttpStatus.ACCEPTED);
    } catch (EntityNotFoundException ex) {
        return new ResponseEntity<>(HttpStatus.NOT_FOUND);
    }
}
}

Answer 1

首先，您需要在 html 中包含 csrf 令牌：

<meta name="_csrf" id="_csrf" th:content="${_csrf.token}"/> <meta name="_csrf_header" id="_csrf_header" th:content="${_csrf.headerName}"/>

你也可以在表格中这样做，像这样：

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>

但我更喜欢在元数据中这样做，因为那是在标题中，并且我为每个带有表单的模板都有这个（我使用百里香、片段等）

其次，你需要修改你的ajax调用：

var csrfToken = $('#_csrf').attr("content");
var csrfHeader = $('#_csrf_header').attr("content");
$.ajax({
    url : '/tag/remove',
    type: 'POST',
    data: ({ id: id }),
    beforeSend: function(xhr){
            xhr.setRequestHeader(csrfHeader, csrfToken);
    }
}).done(function(data, textStatus, jqXHR) {
        alert('finish');
});

设置requestHeader是这个最重要的。

PS：有时可能会发生csrf header 为空的情况，您可以轻松替换它：

var csrfHeader = $('#_csrf_header').attr("content")

这样：

var csrfHeader = 'X-CSRF-TOKEN';