如何为我的网站中的特定页面禁用csrf保护？

Question

使用CSRF保护，这样从其他网站发出的任何请求都不会影响我的网站造成伤害。在Spring安全csrf留档中说，csrf应用于放帖补丁删除请求。

但据我了解，登录/注册表单不需要csrf保护，因为它们已经需要用户名和密码形式的凭据，即使是从另一个网站发出这样的请求，也不会有任何伤害，因为用户只需登录即可。

但是由于登录通常是一个发布请求，csrf将在Spring默认情况下自动应用。这意味着我需要将csrf令牌生成参数作为隐藏输入字段添加到我的表单中，如下所示：

<form th:action="@{/login}" method="post">    
    <fieldset>
        <input type="hidden" 
             th:name="${_csrf.parameterName}" 
             th:value="${_csrf.token}" />
    </fieldset>
    ...
</form>

如果我不加上这个，403禁止的错误就会出现。但如果我像这样禁用csrf

@Override
protected void configure(HttpSecurity http) throws Exception {
    html" target="_blank">http.csrf().disable();
}

然后所有页面都会失去网站中的csrf保护。我如何将csrf应用于某些页面，而不是其他页面，即使他们正在发出帖子请求？

我使用的是Spring Boot Spring Security thymeleaf

Answer 1

您可以使用。csrf（）。在configure（HttpSecurity http）

csrf（）。ignoringAntMatchers（“字符串”）

允许指定不应该使用CSRF保护的HttpServletRequest，即使它们与所需的Csrf保护匹配器（请求匹配器）匹配。

例如，以下配置将确保CSRF保护忽略：

• 任何GET、HEAD、TRACE和OPTIONS（这是默认设置）
• 我们还明确声明忽略以“/sockjs/”开头的任何请求

    http
          .csrf()
              .ignoringAntMatchers("/sockjs/**")
              .and()
          ...

. csrf（）。

允许指定不应该使用CSRF保护的HttpServlet请求，即使它们与所需的Csrf保护匹配器（请求匹配器）匹配。

例如，以下配置将确保CSRF保护忽略：

• 任何GET、HEAD、TRACE和OPTIONS（这是默认设置）

http
     .csrf()
         .ignoringRequestMatchers(request -> "XMLHttpRequest".equals(request.getHeader("X-Requested-With")))
         .and()