Spring Security - GET 请求上的 CSRF 令牌答案

【问题标题】：Spring Security - CSRF token on GET requestSpring Security - GET 请求上的 CSRF 令牌
【发布时间】：2019-12-06 08:41:25
【问题描述】：

我在 Spring 5 (Boot 2) RESTful Web 服务中配置了 CSRF 保护，因为我想防止 CSRF 攻击（我使用 JWT cookie 进行身份验证和授权）。在每个请求中，我都会得到一个新的 XSRF cookie。我通过 X-CSRF-TOKEN 标头发回的那个 cookie 的值。

我注意到POST、PUT 和DELETE 方法需要此令牌的值（在X-CSRF-TOKEN 标头中）才能正常工作，但GET 方法在没有X-CSRF-TOKEN 的情况下也能正常工作标题。

这种行为是故意的，因为GET 方法不应该改变状态还是我做错了什么？

【问题讨论】：

标签： spring spring-security

【解决方案1】：

CSRF 令牌被有意从 GET 中排除，以避免令牌泄漏给第三方

【讨论】：