Angular 2/Spring SecurityCSRF实现问题

Question

我试图在Spring Boot API上构建一个Angular 2页面。我已经配置了CORS（我相信是正确的），但是Spring Security的CSRF保护阻止了我。

根据我的理解，Angular 2从RC2开始自动处理CSRF，而我是在RC4上。服务器正在发送一个XSRF令牌以响应来自客户端的帖子，如下所示：

我假设角2没有把它捡起来？我知道CORS可以工作，因为当我把.ginnowingantmatchers（“/urlhere/”）放在.csrf（）的末尾进行测试时，请求通过了，所以CORS不会阻止它。下面是我的HttpSecurity配置方法：

@Override
protected void configure(HttpSecurity http) throws Exception {

    http
        .authorizeRequests()
            .antMatchers("/auth/**", "/signup/**").permitAll()
            .and()
        .headers() 
            .and()
        .exceptionHandling()
            .and()
        .cors()
            .and()
        .csrf()
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());

}

sendCredentials(model) {
   let tokenUrl = 'http://localhost:8080/user/login';
   let headers1 = new Headers({'Content-Type': 'application/json'});

   return this.http.post(tokenUrl, JSON.stringify(model), {headers: headers1});
}

sendToken(token){
   let userUrl = 'http://localhost:8080/rest/user/users';
   let headers2 = new Headers({'Authorization': 'Bearer '+token});

   return this.http.get(userUrl, {headers:headers2});
}

我缺少什么来满足CSRF保护的要求？是客户端吗？或者我需要添加/登录/到我的敌手列表中吗？

Answer 1

我知道很晚了，但我遇到了同样的问题，并设法解决了它。angular http请求中的问题：

return this.http.post(tokenUrl, JSON.stringify(model), {headers: headers1});

您需要将其调整为像这样发送：

return this.http.post(tokenUrl, JSON.stringify(model), {headers: headers1, withCredentials: true});

必须向所有http请求添加With Credentials:true。你为什么需要它？每次向Spring（server）发送http请求(OPTIONS、POST等）时，它将生成新的XSRF-TOKEN并将其发送给客户机，WithCredentials:true将在浏览器中保存这个新的XSRF-TOKEN，以后用于新的http请求，因此，如果某个http请求没有WithCredentials:true，它将忽略新的XSRF-TOKEN，并将旧的（过期的）XSRF-TOKEN用于http请求。