无法使用 Spring Security 创建 CSRF 令牌

Question

我在我的 Spring MVC 应用程序中使用 Spring Security 3.2.3 并得到一些意外行为。

根据documentation here，应该可以在我的html的meta标签中使用${_csrf.token}：

<meta name="_csrf" content="${_csrf.token}" />
<!-- default header name is X-CSRF-TOKEN -->
<meta name="_csrf_header" content="${_csrf.headerName}" />

我使用 JQuery 提取“内容”的值并使用 AJAX 将其放入请求标头中。

尽管出于某种原因，Spring Security 并未将其“转换”为实际令牌，它只是作为文字字符串“${_csrf.token}”发送到标头中。

根据文档尝试在隐藏输入中使用${_csrf.token} 的替代路线，然后我尝试通过检查输入的值来检查令牌的评估结果，但它仍然只是纯文本“${_csrf.token} ”。

既然 Spring Security 似乎没有生效，我是否缺少某种配置？我目前正在使用准系统 Spring Security Java 配置（而不是 xml），如下所示：

import org.springframework.context.annotation.*;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.*;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
          .csrf();
      }
}

我知道 configure 会被调用，因为我在其中放了一个调试语句，所以我假设 CSRF 保护确实已启用，因为它应该是默认的。

我意识到语法“${}”是 JSP 表达式语言，我目前正在成功地使用它来将上下文评估为带有 Thymeleaf 的对象，例如：

th:object="${context}"

所以我尝试在元标记的“内容”前面添加“th:”，如下所示：

<meta name="_csrf" th:content="${_csrf.token}"/>

但是会导致 this 无法评估的异常：

评估 SpringEL 表达式的异常：“_csrf.token”

我认为这里的关键可能是弄清楚如何让表达式在我看来正确评估。

Answer 1

我终于解决了这个问题，但它基本上需要重写 Spring Security。这是它的所有荣耀。

首先，我遵循了 Eyal Lupu 的精彩博文 here 中的建议，但由于我的 AJAX 要求，我不得不根据我的情况对其进行调整。

关于 Thymeleaf 的情况，关键的花絮被隐藏在 Thymeleaf 论坛的档案中 - 臭名昭著的第 7 期。

https://github.com/thymeleaf/thymeleaf-spring/issues/7#issuecomment-27643488

Thymeleaf 的创建者本人的最后一条评论说：

th:action ... 检测此属性何时应用于 标签——无论如何，这应该是唯一的地方——，在这种情况下 调用 RequestDataValueProcessor.getExtraHiddenFields(... ) 并添加 在结束标记之前返回隐藏字段。

这是我需要让令牌工作的关键短语。不幸的是，为什么th:action 也会启动getExtraHiddenFields 并不明显，但无论如何它确实如此，这才是最重要的。

因此，对于任何在 Thymeleaf + Spring Security CSRF + AJAX POST 中苦苦挣扎的人，以下是我的步骤（这将其缩减了很多，但这些是解决它的高级概念）：

1. 实现 Spring 接口 RequestDataValueProcessor 并将其注册到 Spring Security 的 XML 配置中，这样您就可以覆盖方法 getExtraHiddenFields，它允许您将隐藏的输入字段插入 HTML（当然使用令牌）。令牌本身是使用 Java.Util UUID 生成的。

2. 使用 JQuery，从该隐藏字段读取值并设置请求标头的“X-CSRF-Token”属性，以便通过 HTTP 发送。不可能简单地将令牌留在隐藏的输入字段中，因为我们没有进行表单提交，而是使用 AJAX POST 来调用服务器端的方法。

3. 扩展 Spring 的 HandlerInterceptorAdapter 并将其注册为拦截器，这样每次执行 POST 方法时，都会调用服务器端的“preHandle”方法，以便它可以比较请求令牌（从 HTTP 标头中提取上一步）到会话的令牌（应该是一样的！）。完成此检查后，它可以允许请求通过或返回错误。

Answer 2

我认为，我从与您相同的source article 开始，并且与您一样添加了相同的“您应该能够”添加答案。我以不同的方式与之抗争。我让 Thymeleaf 给了我想要的答案。

<meta name="_csrf" th:content="${_csrf.token}"/>
<!-- default header name is X-CSRF-TOKEN -->
<meta name="_csrf_header" th:content="${_csrf.headerName}"/>

Thymeleaf 将属性“content”与请求的 Spring EL 内容放在一起。然后我使用提供的 JavaScript/JQuery 将元标记中的信息直接提取到 CSRF 标头中。

Answer 3

在将 thymeleaf-extras-springsecurity 命名空间及其依赖项添加到我的项目中之前，我遇到了类似的问题。即使使用 thymeleaf-extras-springsecurity，我也从来没有让元标记工作。但我确实使用隐藏输入成功检索了 Spring Security 的 csrf 令牌。下面的说明对我有用：
在html标签中，添加：
xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity4"

在您的 pom.xml（如果您使用 Maven）中，您需要添加依赖项：thymeleaf-extras-springsecurity4。
然后在页面正文中添加隐藏的输入以检索 csrf 令牌。
<input type="hidden" id= "csrf-token" th:name="${_csrf.parameterName}" th:content="${_csrf.token}" />
然后在您的 javascript/jquery 中使用它，如下所示：
function f1() { var token1 = $('input#csrf-token').attr("content"); ... $.ajax({ ... type: "POST", beforeSend: function (request) { request.setRequestHeader("X-CSRF-TOKEN", token1); }, ...
这一切都假设您启用了 spring 安全性，并且您没有关闭 csrf 保护。

Answer 4

您的 web.xml 中 springSecurityFilterChain 的配置不正确。正确的定义是：

<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>

Spring Security 使用一组 servlet 过滤器来提供它所提供的功能（包括 CSRF 保护）。这些过滤器被定义为 Spring bean（即它们由 Spring 应用程序上下文实例化和管理）。 DelegatingFilterProxy 是一种特殊类型的 servlet 过滤器，它在已注册的 servlet 上下文 上找到 根应用程序上下文，并将每次调用委托给同一个命名的 bean。

Answer 5

您的问题是另一个问题，我也偶然发现了这个问题，我花了几个小时才找出原因。您描述的问题的原因是您没有在 spring-security.xml 中启用 csrf 支持

这个小 sn-p 需要进入你的 security-config.xml：

<!-- Static resources such as CSS and JS files are ignored by Spring Security -->
<security:http pattern="/static/**" security="none" />

<security:http use-expressions="true">

    <!-- Enables Spring Security CSRF protection -->
    <security:csrf/>

    <!-- Configures the form login -->
    <security:form-login
            login-page="/login"
            login-processing-url="/login/authenticate"
            authentication-failure-url="/login?error=bad_credentials"
            username-parameter="username"
            password-parameter="password"/>
    <!-- Configures the logout function -->
    <security:logout
            logout-url="/logout"
            logout-success-url="/login"
            delete-cookies="JESSIONID"/>
    <!-- Anyone can access these urls -->
    <security:intercept-url pattern="/auth/**" access="permitAll"/>
    <security:intercept-url pattern="/login" access="permitAll"/>
    <security:intercept-url pattern="/signin/**" access="permitAll"/>
    <security:intercept-url pattern="/signup/**" access="permitAll"/>
    <security:intercept-url pattern="/user/register/**" access="permitAll"/>

    <!-- The rest of our application is protected. -->
    <security:intercept-url pattern="/**" access="hasRole('ROLE_USER')"/>

    <!-- Adds social authentication filter to the Spring Security filter chain. -->
    <security:custom-filter ref="socialAuthenticationFilter" before="PRE_AUTH_FILTER" />
</security:http>
....
...
..
.

通过正确配置来节省时间...

欢呼， 弗洛！

Answer 6

如果您不需要使用 Thymeleaf，我建议如下：

1. 将此添加到页面顶部：

   <%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
   

2. 将此添加到您的登录表单：

   <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
   

3. 将这些依赖项添加到您的 pom.xml：

   <dependency>
       <groupId>org.apache.tomcat.embed</groupId>
       <artifactId>tomcat-embed-jasper</artifactId>
       <scope>provided</scope>
   </dependency>
   <dependency>
       <groupId>javax.servlet</groupId>
       <artifactId>jstl</artifactId>
   </dependency>   
   

经过很多努力，这对我有用。