spring cloud Netflix Zuul、CSRF和表单提交

Question

我对spring cloud和CSRF保护有些问题。我用spring cloud安全、OAuth2等来保护我的应用程序（网关和注册服务）。

我向每个人（permitAll）授予/signup，这是网关路由到实际signup服务的位置。我还授予注册服务器上的每个人访问权限。这与预期的一样工作。

让我头疼的是CSRF保护。网关和注册服务都自行创建CSRF令牌。来自网关的令牌将被发送到客户端，而来自sign up服务的令牌将丢失（在网关的某个地方）。

如果我向sign up service发布了一些内容，CSRF保护就会启动，并指出令牌为空，或者实际值与期望值不匹配，如果我尝试重用来自网关的值（在HTTP报头中可用）。

我使用它在sign up服务上禁用CSRF，但它似乎不是正确的解决方案，因为它只在有人从客户端发送令牌回来时才起作用，就像Angular Spa一样。当我试图从浏览器提交表单（在注册服务上呈现）时，由于缺少_csrf参数，这会失败。如果我在sign up service上激活CSRF并将_CSRF参数添加到表单中,网关的CSRF保护就会启动,并显示实际令牌与预期的令牌不匹配,这是完全正确的,因为实际令牌是来自sign up service的令牌,预期令牌是来自网关的令牌。

我可以在网关上禁用CSRF，但这将导致我必须在REST客户机或SPA使用的每个服务上配置CSRF内容。

我尝试了HttpSecurity.csrf（）配置中的ignoreAntMatchers()，在该配置中我可以排除特定路径，但这对我也没有帮助。期望值是完全不同的东西。似乎为POST请求创建了一个新的会话。

那么有没有可能我可以在网关使用CSRF和同时使用表单提交和Zuul的注册服务呢？

Answer 1

您应该能够使其工作：我认为在Zuul中应该禁用CSRF，并且Zuul应该转发来自服务的原始CSRF令牌。

您是否尝试设置自定义“敏感标头”以避免丢失令牌？由于默认配置是删除任何“cookie”和“set-cookie”头，您需要更改它：

zuul:
  routes:
    users:
      path: /myusers/**
      # This is the default value if not set
      sensitiveHeaders: Cookie,Set-Cookie,Authorization
      url: https://downstream

变成

zuul:
  routes:
    users:
      path: /myusers/**
      sensitiveHeaders: Authorization
      url: https://downstream