spring-cloud：禁用 CSRF

Question

尝试使用 http.csrf().disable() 在 edge/zuul 中禁用 CSRF。 但是 csrfFilter 在过滤器链@位置 4 中仍然可用。 我什至设置了属性spring.enableCsrf: false。仍然 csrfFilter 启动，我的 ajax 请求得到 403 错误。

如何使用 Zuul 和外部 OAuth 服务器 (UAA) 禁用 CSRF？

Answer 1

Configure CSRF Protection 一些框架通过使用户的会话无效来处理无效的 CSRF 令牌，但这会导致其自身的问题。相反，默认情况下 Spring Security 的 CSRF 保护将产生 HTTP 403 访问被拒绝。这可以通过配置 AccessDeniedHandler 以不同方式处理 InvalidCsrfTokenException 来定制。

从 Spring Security 4.0 开始，CSRF 保护默认通过 XML 配置启用。如果您想禁用 CSRF 保护，可以在下面看到相应的 XML 配置。

<http>
    <!-- ... -->
    <csrf disabled="true"/>
</http>

Java 配置默认启用 CSRF 保护。如果您想禁用 CSRF，可以在下面看到相应的 Java 配置。有关如何配置 CSRF 保护的其他自定义设置，请参阅 csrf() 的 Javadoc。

@EnableWebSecurity
public class WebSecurityConfig extends
WebSecurityConfigurerAdapter {

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
    .csrf().disable();
}
}