Spring Boot - 使用 CSRF 令牌发布请求产生 403 错误

Question

我正在尝试在我的 Spring Boot API 中实现 CSRF 令牌安全性以了解如何处理它。

我关注了this tutorial (server side part)，这是我的安全配置：

private static final String[] CSRF_IGNORE = {"/api/login"};


protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf()
                .ignoringAntMatchers(CSRF_IGNORE)
                .csrfTokenRepository(csrfTokenRepository())
                .and()
                .addFilterAfter(new CustomCsrfFilter(), CsrfFilter.class)
                .exceptionHandling()
                .authenticationEntryPoint(new Http403ForbiddenEntryPoint() {
                })
                .and()
                .authenticationProvider(getProvider())
                .formLogin()
                .loginProcessingUrl("/api/login")
                .successHandler(new AuthentificationLoginSuccessHandler())
                .failureHandler(new SimpleUrlAuthenticationFailureHandler())
                .and()
                .logout()
                .logoutUrl("/api/logout")
                .logoutSuccessHandler(new AuthentificationLogoutSuccessHandler())
                .invalidateHttpSession(true)
                .and()
                .authorizeRequests()
                .anyRequest().authenticated();
    }

其他与教程相同。

我正在使用 Postman 进行测试。

当我在 CSRF_IGNORE 中添加我想要的端点时，我可以通过 logger/debug 看到存储的令牌，并且来自 cookie 的令牌是相同的，因为安全配置的部分 CustomCsrfFilter.java使用了 .addFilterAfter() 中的 ，但是当我从这个 CSRF_IGNORE 中删除端点时，我得到的是 403，以及 CustomCsrfFilter.java 没有使用，所以我认为没有比较令牌。

我想我错过了一些东西，我想了解一下。

Answer 1

如果你想使用带有 http only false cookie 的 CSRF，为什么不使用 Spring Security 内置的CookieCsrfTokenRepository？应该以这种方式简化您的配置。 CustomCsrfFilter 似乎正在向HttpServletResponse 添加一个XSRF-TOKEN cookie，其中CookieCsrfTokenRepository does for you。

使用CookieCsrfTokenRepository 时默认的CSRF cookie 名称是X-CSRF-TOKEN，这是Angular 的HttpClientXsrfModule 使用的默认名称。当然，如果需要，您可以自定义。

所以你的安全配置变成了：

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf()
                    .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
                .and()
                .exceptionHandling()
                    .authenticationEntryPoint(new Http403ForbiddenEntryPoint())
                .and()
                    .authenticationProvider(getProvider())
                .formLogin()
                    .loginProcessingUrl("/api/login")
                    .successHandler(new AuthentificationLoginSuccessHandler())
                    .failureHandler(new SimpleUrlAuthenticationFailureHandler())
                .and()
                .logout()
                    .logoutUrl("/api/logout")
                    .logoutSuccessHandler(new AuthentificationLogoutSuccessHandler())
                    .invalidateHttpSession(true)
                .and()
                .authorizeRequests()
                    .anyRequest().authenticated();
    }

使用 Angular，您的应用模块将 HttpClientXsrfModule 作为

@NgModule({
  declarations: [
    AppComponent
  ],
  imports: [
    BrowserModule,
    HttpClientModule,
    HttpClientXsrfModule
  ],
  providers: [],
  bootstrap: [AppComponent]
})
export class AppModule { }