在Spring Security 3.2.0.发行版中，如何在没有标记库的纯HTML页面中获得CSRF令牌

Question

今天，我从带有单独java配置依赖项的Spring Security 3.1.4升级到包含java配置的新3.2.0版本。CSRF在默认情况下是打开的，我知道我可以在重写的configure方法中使用“http.CSRF（）.disable（）”禁用它。但是假设我不想禁用它，但我需要登录页面上的CSRF令牌，其中没有使用JSP标记库或Spring标记库。

我的登录页面纯粹是HTML，我在使用Yeoman生成的骨干应用程序中使用了它。如何将包含在HttpSession中的CSRF令牌以表单形式或标头形式包含在内，这样我就不会得到“未找到预期的CSRF令牌。您的会话过期了吗？”例外？

Answer 1

您可以使用引用中概述的名为_CSRF的请求属性获得CSRF。要将CSRF添加到HTML页面，您需要使用JavaScript来获取请求中需要包含的令牌。

作为头部返回令牌比在主体中作为JSON返回更安全，因为主体中的JSON可以由外部域获得。例如，您的JavaScript可以请求一个通过以下方式处理的URL：

CsrfToken token = (CsrfToken) request.getAttribute("_csrf");
// Spring Security will allow the Token to be included in this header name
response.setHeader("X-CSRF-HEADER", token.getHeaderName());
// Spring Security will allow the token to be included in this parameter name
response.setHeader("X-CSRF-PARAM", token.getParameterName());
// this is the value of the token to be included as either a header or an HTTP parameter
response.setHeader("X-CSRF-TOKEN", token.getToken());

然后，JavaScript将从响应头获得头名或参数名和令牌，并将其添加到登录请求中。