Spring Security、无状态REST服务和CSRF

Question

我有一个REST服务，使用Java、Spring boot和Spring Security以及基本的访问认证构建。没有视图，没有JSP等，没有“登录”，只有可以从单独托管的React应用程序调用的无状态服务。

我已经阅读了各种关于CSRF保护的留档，但是我不能决定我应该使用Spring安全CSRF配置，还是仅仅禁用它？如果我禁用csrf保护，我可以使用我的基本权限像这样使用curl调用服务：

curl -H "authorization:Basic c35sdfsdfjpzYzB0dDFzaHA=" -H "content-type:application/json" -d '{"username":"user","password":"password","roles":"USER"}' localhost:8081/api/v1/user

如果我启用csrf保护并提供x-csrf-token头，那么spring CsrfFilter会尝试将其与HttpServletRequest中会话cookie（我认为）的值进行交叉检查。然而，由于它是一个无状态REST服务，我没有会话，也没有“登录”。

我有一个配置类，看起来像这样：

@EnableWebSecurity
@Configuration
public class ServiceSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest().fullyAuthenticated()
                .and().httpBasic();
        if (!serviceProperties.isCsrfEnabled()) {
            http.csrf().disable();
        }
    }

我想得越多，我似乎越需要禁用CSRF保护。有没有其他方法来配置Spring安全，这样它就可以工作了？

谢谢

Answer 1

如果您想以更合适的方式禁用csrf，可以这样调用它（如果使用java配置）

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()
            .anyRequest().fullyAuthenticated()
            .and().httpBasic();
       .and()
            .csrf()
            .disable()

Answer 2

为了回答您的第一个问题，在您描述的上下文中，您不需要CSRF保护。CSRF保护的背景是确保用户不会被骗去做一些不必要的动作。

例如，在纯理论中，您可以登录银行的网站（从而建立一个会话），然后访问某个可疑的网站。这个网站可能有一个表单，向银行的应用编程接口发出POST请求。因为你在那里有一个会话，如果endpoint不受CSRF保护，那么请求可能会通过。

因此，CSRF主要用于抵御基于浏览器会话的攻击。如果您公开了一个带有OAuth保护的纯REST API，那么我看不出有任何理由使用CSRF。

当您使用Spring引导时，您还可以使用application.properties/application.yaml配置文件禁用CSRF。

security.enable-csrf=false

您可以查看通用应用程序属性留档页，了解更多开箱即用的配置选项。