Spring安全 CSRF CORS

Question

问题陈述：我有一些Rest的API，它们使用Spring安全性进行CSRF保护。此外，这些API将通过Angular WEB UI从不同的Origin/domain访问。我不需要Spring Authentication，因为身份验证由Siteminder处理。

方法：我遵循了Dave Syer提供的CSRF保护的链接：登录页面：Angular JS和Spring Security Part II，除了一个问题（如下）之外，它工作得很好。

问题：当我的angular html客户端访问同一源/域上的RESTful API时，该代码工作得非常好；但当我尝试从不同的来源访问相同的API时，会出现错误403-访问禁止-CSRF令牌错误。

到目前为止，我通过扩展您的示例尝试的方法：

>

添加了 CORS 筛选器 - 为 RESTful Web 服务启用跨域请求

response.setHeader("Access-Control-Allow-Origin", "*");
response.setHeader("Access-Control-Allow-Methods", "POST, GET, OPTIONS, DELETE");
response.setHeader("Access-Control-Max-Age", "3600");
response.setHeader("Access-Control-Allow-Headers", "x-requested-with");

上面没有运气。

如果我需要做任何其他事情来使其工作，请提出建议。

谢谢，苏曼

Answer 1

CSRF和CORS不是一回事。您现在可能已经对 CORS 部分进行了排序，但您需要将 CSRF 令牌添加到任何 POST/PUT/DELETE 请求。Spring Security将令牌发送到您引用的博客系列的标题中，Angular从那里获取它（您需要添加几行代码才能使其正常工作）。