spring boot csrf和jade

Question

我有一个带有 java 配置的 Spring Boot 应用程序。我只在 build.gradle 文件中引用 spring-boot-starter-jade4j 和 spring-boot-starter-security。我试图弄清楚为什么我不能让 csrf 令牌出现。 这是我的安全配置

@Configuration
@EnableWebMvcSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
  @Autowired
  DataSource ds;

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/", "/signup", "/js/**", "/css/**", "/terms", "/privacy", "/favicon.ico").permitAll()
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
        .logout()
            .logoutUrl("/logout")
            .permitAll()
            .and()
        .csrf();
  }
…
}

这是我的登录表单。源代码中显示了 CSRF 隐藏字段，但 csrf 令牌似乎没有计算并且值为空。

extends _base
block head

block body
  #bodContent.container-fluid
  .row
    .col-md-4
    .col-md-4
      br
      .panel.panel-default
        .panel-body
          h1 Please log in
          form(method="POST", action="/login")
            input(type="hidden", name='_csrf', value='#{_csrf}')
            .form-group
              label(for="email")
                | Email address
              input#username.form-control(name="username", type="email", value="")
            .form-group
              label(for="password")
                | Password
              input#password.form-control(name="password", type="password", value="")
            .checkbox
              label
                input(type="checkbox")
                | Remember me
            input.btn.btn-default(type="submit")
              | Submit
    .col-md-4

Answer 1

我的怀疑是 Spring Boot 没有将 CSRF 令牌公开为模型属性，这是可以预料的，因为令牌通常作为请求属性（而不是模型属性）公开。在典型的 Spring MVC 应用程序中，可以通过在ViewResolver 上将exposeRequestAttributes 设置为true，将请求属性公开为模型属性。但是，我不确定如何使用 Jade4j 视图解析器完成此操作。

但是有一种解决方法，即通过应用程序配置手动公开令牌。

@Configuration
@EnableAutoConfiguration
public class ApplicationConfig extends WebMvcConfigurerAdapter {
  public static void main(String... args) {
    SpringApplication.run(ApplicationConfig.class, args);
  }

  @Override
  public void addInterceptors(InterceptorRegistry registry) {
    registry.addInterceptor(csrfTokenAddingInterceptor());
  }

  @Bean
  public HandlerInterceptor csrfTokenAddingInterceptor() {
    return new HandlerInterceptorAdapter() {
      @Override
      public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView view) {
        CsrfToken token = (CsrfToken) request.getAttribute(CsrfToken.class.getName())
        if (token != null) {
          view.addObject(token.getParameterName(), token)
        }
      }
    }
  }
}

现在您的代码 #{_csrf.parameterName} 和 #{_csrf.token} 可以使用了。

注意：特别感谢this answer。