CORS和CSRF处理XSRF攻击问题（spring boot microservice）

Question

我正在从事一个有悬而未决的checkmarx问题（最近从veracode迁移过来）的项目，这个安全性方面存在一个问题：

@Configuration
@EnableWebSecurity
public class Security extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {

        httpSecurity.cors().and().csrf().disable();       
    }
}

Checkmarx不喜欢它，给我看这个：

证券配置。java从disable的用户请求中获取参数。该参数值在代码中流动，最终用于访问应用程序状态改变功能。这可能会启用跨站点请求伪造（XSRF）

还要补充的是，在这个springboot中发出的请求是用idtoken处理的，根据我找到的快速阅读，这个类应该定义得很好。（希望如此）

如果有人能找到解决checkmarx不喜欢的问题的线索，那将非常有帮助，祝你好运！

Answer 1

checkmarx扫描不喜欢对所有URL完全禁用csrf的部分。如果您有任何想要启用csrf的特定url，可以添加以下代码。

    @Configuration
    @EnableWebSecurity
    public class Security extends WebSecurityConfigurerAdapter {
    
    

    @Override
        protected void configure(HttpSecurity httpSecurity) throws Exception {
            equestMatcher csrfRequestMatcher = new RequestMatcher() {
    
          // Disable CSFR protection on the following urls:
          private AntPathRequestMatcher[] requestMatchers = {
              new AntPathRequestMatcher("/login"),
              new AntPathRequestMatcher("/logout"),
              new AntPathRequestMatcher("/verify/**")
          };

  

    @Override
      public boolean matches(HttpServletRequest request) {
        // If the request match one url the CSFR protection will be disabled
        for (AntPathRequestMatcher rm : requestMatchers) {
          if (rm.matches(request)) { return false; }
        }
        return true;
      } // method matches

    };
     

       httpSecurity.csrf()
            .requireCsrfProtectionMatcher(csrfRequestMatcher)
            .and()
    // other validations.      
        }
    }

请尝试以下链接获取详细答案。Spring Security 3.2 CSRF禁用特定网址