Spring Security 3.2对特定URL禁用CSRF

Question

<http>
 <intercept-url pattern="/**/verify"  requires-channel="https"/>
 <intercept-url pattern="/**/login*"  requires-channel="http"/>
 ...
 ...
 <csrf />
</http>

@Configuration
@EnableWebSecurity
public class MySecurityConfig extends WebSecurityConfigurerAdapter {

private CsrfMatcher csrfRequestMatcher = new CsrfMatcher();

@Override
public void configure(HttpSecurity http) throws Exception {

    http.csrf().requireCsrfProtectionMatcher(csrfRequestMatcher);

}

class CsrfMatcher implements RequestMatcher {
    @Override
    public boolean matches(HttpServletRequest request) {

        if (request.getRequestURL().indexOf("verify") != -1)
            return false;
        else if (request.getRequestURL().indexOf("homePage") != -1)         
            return false;

        return true;
    }
}

}

Csrf筛选器验证从“验证”提交的Csrf令牌，当我从HTTP向https提交请求时，抛出无效令牌异常（403）。如何在这种情况下禁用csrf令牌身份验证？

Answer 1

我知道这不是一个直接的答案，但人们（就像我一样）在搜索这类问题时通常不会指定Spring的版本。因此，由于spring security存在一种可以忽略某些路由的方法：

以下内容将确保忽略CSRF保护：

1. 任何GET、HEAD、TRACE、OPTIONS（这是默认值）
2. 我们还显式声明忽略任何以“/sockjs/”开头的请求

     http
         .csrf()
             .ignoringAntMatchers("/sockjs/**")
             .and()
         ...