如何将CSRF令牌设置为不同的上下文路径

Question

我们基于Angular的webapp与运行在不同域和上下文路径上的企业门户集成。我使用基于Spring Security的CSRF令牌来验证传入的请求。该应用程序在本地运行得非常好，但当我将其与门户集成时，所有post调用都失败了403，因为Angular无法读取XSRF令牌并将请求头中的X-XSRF-Token设置为API调用。经过调查，我发现门户和我们的应用程序的上下文路径不同，因此spring将Path、Expires和domain设置为Null的XSRF令牌。当spring创建XSRF令牌时，有没有办法将其设置为特定的cookie路径？

注意：我有一个替代的解决方案来创建过滤器，从请求头读取cookie，并在浏览器上按我想要的路径放置一个新cookie。我正在寻找配置级别的解决方案。

Answer 1

在配置安全（Java文件）中，可以添加：

private CsrfTokenRepository getCsrfTokenRepository() {
    CookieCsrfTokenRepository tokenRepository = CookieCsrfTokenRepository.withHttpOnlyFalse();
    tokenRepository.setCookiePath("/");
    return tokenRepository;
}

并更改函数configure（…） ，行：

http。csrf（）。csrfTokenRepository（CookieCsrfTokenRepository.withHttpOnlyFalse（））。和（）

具有

http.csrf（）. csrfTokenRepository（this.getCsrfTokenRepository（））.

这允许有一个解决方案来个性化cookieXSRF-TOKEN的路径。