X-CSRF-TOKEN不是由Spring Boot生成的

Question

我遵循指南：http://spring.io/guides/gs/rest-service/构建我的Rest服务示例，现在我正在尝试启用CSRF保护。我读到它应该默认启用，所以如果我不包括：

http。csrf（）。禁用（）

在我的websecurityConfigureAdapter配置中，默认情况下应该启用CSRF保护，但情况似乎并非如此。问题是X-CSRF-TOKEN没有生成，也没有以任何方式包含在我的HTTP响应中。我应该怎么做，生成x-csrf-token并将其包含在响应中，当然，csrf保护完全工作？

我注意到，通过类似的spring mvc配置，我生成了x-csrf-token，其中包括：

在我的安全配置文件中。但是，在Spring启动中，我可能出错了，没有办法生成csrf令牌。有人能帮我吗，也许给我一个工作示例？我的安全配置是：

     @Override
     protected void configure(HttpSecurity http) throws Exception 
     {
        http
      // .csrf().disable()
      .authorizeRequests()
          .anyRequest()
          .authenticated()
      .and()
      .httpBasic()
      .authenticationEntryPoint(new RestAuthenticationEntryPoint())
      .and()
      .formLogin()
      .successHandler(new RestAuthenticationSuccessHandler())
      .failureHandler(new SimpleUrlAuthenticationFailureHandler())
      .and()
      .logout()
      .logoutSuccessHandler(new RestLogoutSuccessHandler());
}

@Override
public void configure(AuthenticationManagerBuilder auth) throws Exception 
{
    auth.userDetailsService(restUserDetailService);
}

Answer 1

您可以配置CookieSRFTokenRepository。将CSRF令牌存储在具有Java配置的Cookie中

    @Override
    protected void configure(HttpSecurity http) {
        http
            .csrf(csrf ->
                csrf
                    .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
            );
    }

Answer 2

使用Spring Security 5.3.0。最后，生成CSRF令牌的方法之一是使用下面的代码在cookie中设置它。

 http.csrf(csrf -> csrf.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()))

您还需要在服务器授权请求中包含生成的CSRF令牌。

<form>
    <input type="hidden" name="_csrf" value="${cookie['XSRF-TOKEN'].getValue()}" />
    //Code goes here
</form>

在使用JS框架的情况下，需要通过在请求头中设置令牌来包含令牌。

下面是一个JQuery ajax调用的示例。

// Get the CSRF token from the cookie
const csrfCookie= document.cookie.replace(/(?:(?:^|.*;\s*)XSRF-TOKEN\s*\=\s*([^;]*).*$)|^.*$/, '$1');
// Add the CSRF token to each ajax request header
settings.beforeSend = function(xhr) {
  xhr.setRequestHeader('X-XSRF-TOKEN', springCsrfCookie);
};
$.ajax(settings);

还有其他的实现可以满足您的需求，下面的链接由Spring|https://docs.spring.io/spring-security/site/docs/5.3.0.RELEASE/reference/html5/#servlet-csrf

Answer 3

要在CSRF保护中包含CSRF令牌，可以包含CSRFTokenRepository以生成令牌。在您的案例中，添加一条简单的线就足够了：

 @Override
 protected void configure(HttpSecurity http) throws Exception 
 {
  http.
  .csrf()
  .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()) //HERE !  Defaults XSRF-TOKEN as cookie name and X-XSRF-TOKEN as header name  
  .authorizeRequests()
  .anyRequest()
  .authenticated()
  .and()
  .httpBasic()
  .authenticationEntryPoint(new RestAuthenticationEntryPoint())
  .and()
  .formLogin()
  .successHandler(new RestAuthenticationSuccessHandler())
  .failureHandler(new SimpleUrlAuthenticationFailureHandler())
  .and()
  .logout()
  .logoutSuccessHandler(new RestLogoutSuccessHandler());}