“状态”：403，“错误”：“禁止”，“消息”：“禁止”，“路径”：“/发布/创建”

Question

我有基本授权，它基于Spring启动安全性：

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
    //...declared fields
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
                .inMemoryAuthentication()
                .passwordEncoder(passwordEncoder())
                .withUser("user")
                .password("userpass")
                .roles("USER")
                .and()
                .withUser("admin")
                .password("adminpass")
                .roles("ADMIN", "USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/login").permitAll()
                .antMatchers("/logout").permitAll()
                .anyRequest().authenticated()
                .and()
                .httpBasic()
                .and().logout().permitAll()
                .and()
                .formLogin()
                .loginProcessingUrl("/login")
                .permitAll()
                .and().logout().logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
                .logoutSuccessUrl("/login");
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

当我尝试在授权后添加新帖子时，我会收到这条消息：

{
    "timestamp": "2018-07-04T12:19:25.638+0000",
    "status": 403,
    "error": "Forbidden",
    "message": "Forbidden",
    "path": "/post/create"
}

在我的控制器中：

@RestController
public class PostController {
    @Autowired
    private PostDAO postDAO;

    @GetMapping("/posts")
    public Page<Post> getAllPosts(Pageable pageable) {
        return postDAO.findAll(pageable);
    }

    @PostMapping("/post/create")
    public Post createPost(@Valid @RequestBody Post post) {
        return postDAO.save(post);
    }
    //other end-points........
}

然而，读操作从我的控制器工作得很好，但积垢操作我没有访问权。

我的依赖性如下：

dependencies {
    compile ('org.springframework.boot:spring-boot-starter-web')
    compile('org.springframework.boot:spring-boot-starter-data-jpa')
    compile('org.hibernate:hibernate-core')
    compile('org.springframework.boot:spring-boot-starter-security')
    runtime('mysql:mysql-connector-java')
    testCompile('org.springframework.boot:spring-boot-starter-test')
    testCompile('org.springframework.security:spring-security-test')
    testCompile('junit:junit')
}

知道吗？提前谢谢！

Answer 1

通常你的html表单标签应该包括一个生成csrf令牌的隐藏字段，但是，thymeleaf会自动为你做这件事，你应该检查你的html标签，看看是否没有一个"th："被包括在内，如果没有，在表单标签中的"action"之前包括一个"th："，做到这一点，thymeleaf无形地生成csrf令牌。

Answer 2

这是因为启用了CSRF。CSRF保护在Java配置中默认启用。我们仍然可以使用下面给出的配置禁用CSRF。

http .csrf().disable() .authorizeRequests() .anyRequest().permitAll(); 

从Spring Security 4. x开始-CSRF保护在XML配置中也默认启用；当然，如果需要，我们仍然可以禁用它：

<http>
    ...
    <csrf disabled="true"/>
</http>

注意：CSRF是一种攻击，它迫使最终用户在当前已通过身份验证的web应用程序中执行不需要的操作。