使用X-XSRF-TOKEN（像angularjs一样）头的Restassured CSRF保护

Question

given().auth().form("user", "password", new FormAuthConfig("login", "username", "password").sendCsrfTokenAsHeader()).when().get("/index.html").then().log().all().statusCode(200);

但是在日志中，我看到CSRF令牌在向/login发布凭据时无效。

Answer 1

要在rest客户机和测试类中使用spring security CSRF保护，您需要在post之前执行2get。

1. 发出get登录请求。这将返回jsessionid标记和xsrf-token标记。如果使用返回的xsrf-token来post，它将失败，因为我们使用empty/falsejsessionid.
获得它
2. 从第二个get获取有用的xsrf-token，使用来自上一个请求的jsessionid。
3. 现在可以将xsrf-token用于post.

示例如何在rest Assuret中使用x-xsrf-token的CSRF保护：

//1) get sessionId
Response response =
        given().auth().preemptive().basic(userName, userPassword).contentType(JSON).
        when().get(PREFIX_URL + "/users/user").
        then().log().all().extract().response();
String jsessionidId =  response.getSessionId();//or response.cookie("JSESSIONID");

//2) get XSRF-TOKEN using new/real sessionId
response =
        given().
        sessionId(jsessionidId).//or cookie("JSESSIONID", jsessionidId).
        contentType(JSON).
        when().get(PREFIX_URL + "/users/user").
        then().log().all().extract().response();

//3) post data using XSRF-TOKEN
given().log().all().
        sessionId(jsessionidId).//or cookie("JSESSIONID", jsessionidId).
        header("X-XSRF-TOKEN", response.cookie("XSRF-TOKEN")).
        queryParam("pos",pos.getId()).
        queryParam("date",date).
        queryParam("group_id",itemGroup.getId()).
        body(orderItems).
        contentType(JSON).
when().
        post(PREFIX_URL + "/orders/orderitems").
then().
    log().all().assertThat().statusCode(200);