Spring 安全中的条件 CSRF 保护

Question

我们正在使用 Spring Boot 开发一个 Web API，它应该支持 React 客户端和移动应用程序。对于 Web 端，我们使用会话管理和 cookie 进行授权并启用 CSRF，移动应用程序将使用不记名令牌发送授权信息。现在假设我们有一个用于修改 React 客户端和移动应用程序都将使用的用户数据的端点，有没有办法在移动应用程序尝试访问它时禁用 CSRF 检查，因为移动应用程序不应该真的容易受到 CSRF 攻击吗？

Answer 1

有没有办法在移动应用程序尝试访问它时禁用 CSRF 检查

是的，您可以让移动版本使用不同的 URL。 然后你可以像这样配置HttpSecurity bean。

     http
         .csrf()
             .ignoringAntMatchers("/my-csrf-disabled-uri-for-mobile/**")
             .and()

这能解决您的问题吗？在 cmets 中告诉我。