在 spring-security 中更改 csrf 令牌

Question

我在 Spring Security 中使用 csrf，像这样

<http auto-config="false" >
    ...
    <csrf />
    ...
</http>

并像这样放入每个jsp页面

<meta name="_csrf" content="${_csrf.token}" />
<meta name="_csrf_header" content="${_csrf.headerName}" />

问题是，每次我刷新页面时，我都想更改令牌。但只要用户登录，令牌就不会改变。

Answer 1

Spring 默认使用 per-session csrf，你可以查看here 了解它的实现。 根据更改令牌，我建议您实施自己的 .并在需要时调用其方法重置令牌。