CSRF滤波器顺序和随机令牌生成

Question

我在生成XSRF令牌和更新必要的cookie值方面遇到了一些奇怪的行为。当我加载我的网站的登录页时——一个有角度的前端和一个Spring boot后端——会生成一个XSRF令牌。不是很理想，但如果这是正常的和预期的，那么我可以接受。进入登录页时生成的唯一请求是“获取”请求。

在我登录到应用程序之后，它验证第一个XSRF-TOKEN并验证其有效性，然后继续登录。但是，在更改web服务上的XSRF-token之后，会立即生成一个新的CSRF令牌。因此，前端和后端现在不同步。我不知道如何在成功登录后更新XSRF-TOKEN，或者防止它被更改，因为这似乎没有任何好处。。。至少从我读到的来看。

网络安全

@Override
protected void configure(HttpSecurity http) throws Exception {
    CsrfHeaderFilter csrfHeaderFilter = new CsrfHeaderFilter();

    http.httpBasic()
        .authenticationEntryPoint(new AuthenticationFailureHandler())
        .and()
            .authorizeRequests()
            .antMatchers("List of API URI").permitAll()
            .anyRequest().authenticated();

    // Configurations for CSRF end points
    http.httpBasic()
        .authenticationEntryPoint(new AuthenticationFailureHandler())
        .and()
            .csrf()
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
        .and()
            .authorizeRequests()
            .antMatchers("Login API URI").permitAll()
        .and()
            .addFilterAfter(csrfHeaderFilter, CsrfFilter.class);

        // Logout configurations
        http.logout()
        .permitAll()
        .logoutSuccessHandler((new HttpStatusReturningLogoutSuccessHandler(HttpStatus.OK)));
}

csrf部分被分开，希望csrf令牌只有在随该URI发送后请求时才会生成。情况似乎并非如此。无论向后端发送什么URI，似乎都会调用CSRF Header过滤器。

CSRF头过滤器-必需，因为cookie的域必须更新，以允许前端和后端访问XSRF-TOKEN。

@Override
protected void doFilterInternal(HttpServletRequest request,
                                  HttpServletResponse response, FilterChain filterChain)
          throws ServletException, IOException {

    CsrfToken csrf = (CsrfToken) request.getAttribute(CsrfToken.class
            .getName());

    if (csrf != null) {
      Cookie cookie = WebUtils.getCookie(request, "XSRF-TOKEN");
      String token = csrf.getToken();
      if (cookie == null || (token != null && !token.equals(cookie.getValue()))) {
        cookie = new Cookie("XSRF-TOKEN", token);
        cookie.setPath("/");
        cookie.setDomain(<omitted>);
        response.addCookie(cookie);
      }
    }
    filterChain.doFilter(request, response);
  }

我相信我的过滤器是如何组织的有一个问题，但是我已经尝试了各种方法，从将不同的http.httpBasic（）部分组合成一个单独的组到使用antIgnores for csrf（），再到不处理带有GET请求的CSRF令牌。任何指导或建议将不胜感激！

如果您还需要什么，请告诉我，我会尽力提供。

谢谢

Answer 1

正如我所怀疑的，过滤的顺序有问题。在Spring Boot安全性中建立了一个过滤器层次结构。在将值添加到cookie之前，需要生成XSRF-TOKEN。如果在生成新值之前将旧值添加到Cookie中，则在执行浏览器刷新之前，前端和后端将不同步。

这就是为什么我在过滤顺序的末尾添加了过滤器。如果有人有更好的切入点，我会相应地更新它，并更新这个答案以反映它。

@Override
protected void configure(HttpSecurity http) throws Exception {
CsrfHeaderFilter csrfHeaderFilter = new CsrfHeaderFilter();

http.httpBasic()
    .authenticationEntryPoint(new AuthenticationFailureHandler())
    .and()
        .authorizeRequests()
        .antMatchers("List of API URI").permitAll()
        .anyRequest().authenticated();

// Configurations for CSRF end points
http.httpBasic()
    .authenticationEntryPoint(new AuthenticationFailureHandler())
    .and()
        .csrf()
        .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
    .and()
        .authorizeRequests()
        .antMatchers("Login API URI").permitAll()
    .and()
        .addFilterAfter(csrfHeaderFilter, ExceptionTranslationFilter.class);

    // Logout configurations
    http.logout()
    .permitAll()
    .logoutSuccessHandler((new HttpStatusReturningLogoutSuccessHandler(HttpStatus.OK)));
}