如何修复由 SpringSecurity 引起的 Forbidden 403 错误？

Question

我正在运行 Spring Boot 应用程序，但无法从 HTML 表单中请求参数。每当我尝试使用 POST 方法通过表单发送参数时，它都会引发 Forbidden 403 错误。即使我将 spring 安全设置更改为 anyRequest.permitAll，它仍然会抛出 403。知道如何解决这个问题吗？

mastermind_home.jsp：

<form action="/mastermind/home" method="POST">
            <label>
                <input type="radio" name="difficulty" value="easy">
            </label>Easy<br>
            <label>
                <input type="radio" name="difficulty" value="medium" checked>
            </label>Medium<br>
            <label>
                <input type="radio" name="difficulty" value="hard">
            </label>Hard<br>
            <input type="submit" value="Start game">
        </form>`

控制器：

@AllArgsConstructor
@Controller
@RequestMapping("mastermind")
public class MastermindController {

private MastermindServiceImpl mastermindService;
private UserService userService;

@GetMapping("/home")
public String prepareMmHomePage() {
    return "mastermind_home";
}
@PostMapping("/home")
public String formRequest( @RequestParam String difficulty) {
    return "mastermind_home";
}

Spring 安全设置：

@Configuration
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

private DataSource dataSource;

public SecurityConfiguration(DataSource dataSource) {
    this.dataSource = dataSource;
}

@Bean
public PasswordEncoder passwordEncoder() {
    return PasswordEncoderFactories.createDelegatingPasswordEncoder();
}

@Bean
public Authentication authentication() {
    return SecurityContextHolder.getContext().getAuthentication();
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws   Exception {
    auth.jdbcAuthentication()
            .dataSource(dataSource)
            .passwordEncoder(passwordEncoder())
            .usersByUsernameQuery("SELECT user_name, password, true FROM users WHERE user_name = ?")
            .authoritiesByUsernameQuery("SELECT user_name, 'ROLE_USER' FROM users WHERE user_name = ?");
}

@Override
public void configure(WebSecurity web) throws Exception {
    super.configure(web);
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .antMatchers("/main_menu","/mastermind/**").authenticated()
            .antMatchers("/admin", "/admin/**").hasRole("ADMIN")
            .antMatchers("/home", "/register", "/registered_successfully").anonymous()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .defaultSuccessUrl("/main_menu")
            .and()
            .logout()
            .logoutSuccessUrl("/home");
}

}

Answer 1

在 spring 安全配置中禁用 csrf 解决了我的问题。

and()
.csrf().disable();

我的问题的另一个更好的解决方案：
在 spring security 我添加了：

.antMatchers(HttpMethod.POST, "/mastermind/home").authenticated()

并在 jsp 中形成一个验证 csrf 的令牌：

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />

Answer 2

将此添加到 spring security 以忽略 url 模式

@Override
public void configure(WebSecurity webSecurity) throws Exception {
    webSecurity.ignoring()
            // All of Spring Security will ignore the requests.
            .antMatchers("/mastermind/home");
}

@Override
protected void configure(HttpSecurity http) throws Exception {
 ..........
}

Answer 3

在您的 Spring 安全配置中，您指定所有对以 /mastermind 开头的 URL 的请求都需要经过身份验证 (.antMatchers("/main_menu","/mastermind/**").authenticated())。

如果您想为POST /mastermind/home 设置一个例外，那么您需要将您的配置更改为如下所示

http.authorizeRequests()
        .antMatchers(HttpMethod.POST, "/mastermind/home").permitAll()
        .antMatchers("/main_menu","/mastermind/**").authenticated()
        ....

请注意这两行的顺序很重要，因为 Spring 以相同的顺序匹配请求 URL。