CookieCsrfTokenRepository.withHttpOnlyFalse（）做什么以及何时使用它？

Question

我现在正在尝试学习Spring Security，我已经看到了许多使用它的不同例子。我知道CSRF是什么，Spring Security默认启用了它。我很想知道的是这种定制。

  .csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
  .and()
  .authorizeRequests(request -> {
                request
                    .antMatchers("/login").permitAll()
                    .anyRequest()
                    ....more code

.csrf（）.csrfTokenRepository（CookieSRFTokenReppository.withHttpOnlyFalse（））这一行是什么样的定制，以及何时适合使用它。如果有人能给我一个简单的解释，我将不胜感激。

Answer 1

您可以在此处找到有关Cookie的httpOnly属性的其他信息：https://www.cookiepro.com/knowledge/httponly-cookie/

Answer 2

CSRF代表跨站点请求伪造

它是一种与请求一起发送的令牌，以防止攻击。为了使用Spring Security CSRF保护，我们首先需要确保对任何修改状态的东西（PATCH，POST，PUT和DELETE - 而不是GET）使用正确的HTTP方法。

SpringCookiesRFTokenReposition的CSRF保护工作如下：

• 客户端向Server（Spring Boot Backend）发出GET请求，例如请求主页
• Spring发送GET请求的响应以及Set-cookie标头，其中包含安全生成的XSRF Token
• 浏览器使用XSRF令牌设置cookie
• 在发送状态更改请求（例如POST）时，客户端（可能是角的）将cookie值复制到HTTP请求标头
• 请求与标头和cookie一起发送（浏览器自动附加cookie）
• Spring比较标头和cookie值，如果它们相同则接受请求，否则将403返回给客户端

使用HttpOnlyFalse的方法允许angular读取XSRF cookie。确保 Angular 在将凭据标志设置为 true 的情况下发出 XHR 请求。

来自< code > cookiesrftokenrepository 的代码

@Override
public CsrfToken generateToken(HttpServletRequest request) {
    return new DefaultCsrfToken(this.headerName, this.parameterName,
            createNewToken());
}

@Override
public void saveToken(CsrfToken token, HttpServletRequest request,
        HttpServletResponse response) {
    String tokenValue = token == null ? "" : token.getToken();
    Cookie cookie = new Cookie(this.cookieName, tokenValue);
    cookie.setSecure(request.isSecure());
    if (this.cookiePath != null && !this.cookiePath.isEmpty()) {
            cookie.setPath(this.cookiePath);
    } else {
            cookie.setPath(this.getRequestContext(request));
    }
    if (token == null) {
        cookie.setMaxAge(0);
    }
    else {
        cookie.setMaxAge(-1);
    }
    cookie.setHttpOnly(cookieHttpOnly);
    if (this.cookieDomain != null && !this.cookieDomain.isEmpty()) {
        cookie.setDomain(this.cookieDomain);
    }

    response.addCookie(cookie);
}

@Override
public CsrfToken loadToken(HttpServletRequest request) {
    Cookie cookie = WebUtils.getCookie(request, this.cookieName);
    if (cookie == null) {
        return null;
    }
    String token = cookie.getValue();
    if (!StringUtils.hasLength(token)) {
        return null;
    }
    return new DefaultCsrfToken(this.headerName, this.parameterName, token);
}


public static CookieCsrfTokenRepository withHttpOnlyFalse() {
    CookieCsrfTokenRepository result = new CookieCsrfTokenRepository();
    result.setCookieHttpOnly(false);
    return result;
}

你可以在这里探索方法