Spring Security性拒绝注销CSRF令牌

Question

我试图使用以下教程实现一个Angular应用程序：https://spring.io/guides/tutorials/spring-security-and-angull-js/

登录和执行后续HTTP调用也同样有效。Angular成功地追加了CSRF令牌，Spring成功地解析了它。假设令牌为foo，则请求将包含以下头部：

cookie:jsessionid=...；xsrf-token=foo

protected void configure(HttpSecurity http) throws Exception {
    http
        .httpBasic().and()
        .authorizeRequests()
        .antMatchers("/").permitAll()
        .anyRequest().authenticated().and()
        .logout().and()
        .addFilterBefore(new CsrfHeaderFilter(), CsrfFilter.class);
}

CsrfHeaderFilter是教程中解释的类（它显然适用于所有其他请求）。

Answer 1

我意识到它晚了两个月，但我今天遵循了完全相同的指南，这篇未回复的帖子不断弹出，所以这里是解决方案。

基本上，HttpSecurity配置程序中缺少CSRFTokenRepository()配置。

Springcsrftokenrepository需要标头“x-csrf-token”，但是Angular在名为“x-xsrf-token”的标头中发送令牌，因此指南建议您设置csrftokenrepository的实例，该实例需要Angular默认标头“x-xsrf-token”:

protected void configure(HttpSecurity http) throws Exception {
    http
        .httpBasic().and()
        .authorizeRequests()
        .antMatchers("/").permitAll()
        .anyRequest().authenticated().and()
        .logout()
        .and()
        //This is the first part you were missing
        .csrf()
            .csrfTokenRepository(csrfTokenRepository())
        .and()
            .addFilterBefore(new CsrfHeaderFilter(), CsrfFilter.class);
}


@Bean
public CsrfTokenRepository csrfTokenRepository(){
    HttpSessionCsrfTokenRepository repository = new HttpSessionCsrfTokenRepository();

    // This is the second part you were missing
    repository.setHeaderName("X-XSRF-TOKEN");
    return repository;
}