有必要针对CSRF保护JAX-RS请求吗？

Question

有必要针对CSRF保护JAX-RS请求吗？

根据定义，REST是无状态的，因此不存在会话id（会话cookie），因为根本没有会话（另请参阅）https://stackoverflow.com/a/15746639/5277820).

我的Spring Security Java配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Configuration
    @Order(1)
    public static class JaxRsWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(final HttpSecurity http) throws Exception {
            http
                .antMatcher("/services/**")
                .csrf().disable()
                .authorizeRequests()
                    .antMatchers(HttpMethod.OPTIONS, "/services/**").permitAll()              
                    .anyRequest().hasAuthority("ROLE_user")
                    .and()
                .httpBasic()
                    .and()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
             }
        }
    }
}

但我发现，例如以下博客：无状态Spring Security第1部分：无状态CSRF保护。不幸的是，博客没有解释为什么需要CSRF保护。

在没有会话cookie的情况下是否存在其他CSRF攻击？

Answer 1

访问令牌有时存储在一个（安全超文本传输协议——充其量只有）cookie中，这样客户端就不必费心在每个请求中手动添加它：浏览器会自动将cookie附加到请求中。这就是为什么需要实施CSRF保护的原因。

您链接的文章建议让客户端在Cookie和自定义HTTP头中生成并发送相同的唯一机密值，这非常聪明：

考虑到一个网站只允许为自己的域读/写Cookie，只有真正的网站才能在两个标题中发送相同的值。

也就是说，如果你收到一封带有虚假图像的电子邮件，目标是http://yourserver.com/admin/deleteAll例如（服务器通过GET…）处理它），请求头中不会设置唯一机密（cookie中仍可能存在旧机密）：服务器必须拒绝请求。

Answer 2

CSRF攻击不需要会话就可以存在。CSRF攻击是指通过诱骗用户点击链接或提交表单，并将其发送至用户登录的应用程序，从而代表用户进行操作。

是否使用基本身份验证或会话cookie来识别用户无关紧要。

请注意，使用cookie并不意味着应用程序不是无状态的。cookie与基本身份验证一样，只是在每个HTTP请求中发送一个额外的头。