Spring Security：按客户端类型启用/禁用CSRF（浏览器/非浏览器）

Question

Spring Security文档显示：

“当您使用CSRF保护时？我们建议对正常用户可以通过浏览器处理的任何请求使用CSRF保护。如果您只创建非浏览器客户端使用的服务，则可能需要禁用CSRF保护。”

如果我的服务将被"浏览器"和"非浏览器"客户端（如第三方外部服务）使用，Spring Security是否提供了一种仅针对某些类型的客户端禁用CSRF的方法？

Answer 1

下面是我用来在appconfig security上的特定endpoint上禁用CSRF保护的内容。xml添加一个包含模式信息的节点，如以下示例所示：

<http security="none" pattern="/sku/*"/>
<http security="none" pattern="/sku/*/*"/>
<http security="none" pattern="/sku"/>

只要记住，如果要使用map all request，那么使用符号“*”的顺序很重要。

Answer 2

我的天哪，盒子里没有这样的东西。在你的情况下，我会做的是，有一个URL的层次结构，例如，植根于/api，这将免除csrf。它很容易配置。在XML配置中，有一个普通的

<http pattern="/api/**">
    ...
    <!-- csrf -->
</http>

由于它是第一个，任何对/api层次结构的请求都会触发它，而不使用csrf，所有其他请求都会使用它。

在应用程序的正常部分，您永远不会使用/api/**url，并将它们保留给非浏览器使用。

然后在控制器中，将它们映射到其正常url和/api下的副本：

@Controller
@RequestMapping({ "/rootcontrollerurl", "/api/rootcontrollerurl"})
class XController {
    @RequestMapping(value = "/request_part_url", ...)
    public ModelAndView method() {
        ...
    }
}

（当然，rootControlerurl和request_part_url可能是空白的...）

但您必须分析允许非csrf控制的请求的安全含义，并最终将控制器从/api层次结构中排除。

Answer 3

我相信在Spring Security XML中有一种方法可以做到这一点，但是由于我使用的是Java配置，下面是我的解决方案。

 @Configuration
 @EnableWebSecurity
 public class SecurityConfig {

    @Configuration
    @Order(1)
    public static class SoapApiConfigurationAdapter extends WebSecurityConfigurerAdapter {
        protected void configure(HttpSecurity http) throws Exception {
            http
                .antMatcher("/soap/**")
                .csrf().disable()
                .httpBasic();
        }
    }


    @Configuration
    public static class WebApiConfigurationAdapter extends WebSecurityConfigurerAdapter {

        protected void configure(HttpSecurity http) throws Exception {
            http        
                .formLogin()
                    .loginProcessingUrl("/authentication")
                    .usernameParameter("j_username")
                    .passwordParameter("j_password").permitAll()
                    .and()
                .csrf().disable()

        }
     }
}