axios公共endpoint所需的承载令牌

Question

使用Vue。js我试图用Spring Boot在RESTful API中实现JWT登录表单，但除非我向请求中添加承载令牌，否则我得到的只是403状态。我已经将endpoint设置为无需任何许可即可访问，并且在postman上可以在没有授权标头的情况下发送请求。这是我在Spring上的安全配置的一部分：

.antMatchers(HttpMethod.POST, "/auth/login")
.permitAll()

这就是vue。我发出发帖请求的js服务：

import axios from 'axios'


let USER_API_BASE_URL = 'http://localhost:8080/auth/login/'
let config = {
    headers: {
    'Content-Type': 'application/json',
    'Authorization': "Bearer (hereGoesTheToken)"
    }}

class LoginService{
    postLogin(emailInput, passwordInput){
        let user = JSON.stringify({email: emailInput, password: passwordInput});
        var response = axios.post(USER_API_BASE_URL, user, config);
        console.log(response)
        return response
    }
}

export default new LoginService()

我想这样做，这样就不需要令牌来访问您请求相同令牌的部分...有什么方法可以做到这一点吗？

Answer 1

我不是100%确定，但似乎你的403是由CSRF保护引起的。查看JWT登录示例，了解如何在服务器上启用JWT身份验证。

总之，如果您启用HTTP Basic（. http pBasic（））并禁用会话管理（. setsionManagement（）. setsionCreationPolicy（SessionCreationPolicy. STATELESS）），您还可以禁用CSRF（. csrf（）. disable（））。这将是实现您所尝试的操作的推荐方法，因为无状态服务器（在会话管理方面）不容易受到CSRF保护。

您还可以实现自己的身份验证endpoint，这是您的示例，在这种情况下，您不需要启用。httpBasic（）。你可以直接使用。在这种情况下，oauth2ResourceServer（OAuth2ResourceServerConfigurer:：jwt）。查看本周二的Tanzu对话，了解更多关于JWT认证的信息（为什么和为什么不）。

需要指出的是，服务器上的任何形式的会话都会使您容易受到CSRF攻击，因此确保浏览器中没有JSESSIONID或类似的会话是很重要的。看看这个问题和其他几个类似的问题，因为类似的问题以前经常被问到。