Spring Security CSRF禁用不工作

Question

我有一个应用程序，它使用Spring Security进行身份验证。之前我们使用的是spring security 3.2.10，现在尝试升级到4.2.6。在spring 4之后的版本中，默认情况下会启用CSRF保护。

我遵循移民指南-https://docs.spring.io/spring-security/site/migrate/current/3-to-4/html5/migrate-3-to-4-xml.html

当我刚刚更改了名称空间，更换了安全JAR，并试图从登录页面登录时，它给出了404错误，错误为“/j_spring_security_check”。

根据指南，我将表单登录操作更改为“/登录”，而不是“/j_spring_security_check”。还将用户名和密码参数更改为“用户名”和“密码”，而不是登录页面中定义的“j_username”和“j_password”。

 <form action="/login" method="POST">

在这些更改之后，我得到了与403状态代码相关的CSRF令牌错误-

 Type Status Report
 Message Could not verify the provided CSRF token because your session was 
 not found.
 Description The server understood the request but refuses to authorize it.

通过在Spring Security配置文件中添加以下内容，我禁用了CSRF保护-

  <security:http disable-url-rewriting="true" use-expressions="true">
    <security:csrf disabled="true"/>
    ..
    <security:intercept-url pattern="/login.jsp" 
    access="hasRole('ROLE_ANONYMOUS')"/>
    <security:form-login login-page="/login.jsp"
                         authentication-failure-url="/login.jsp? 
                         login_error=1"
                         default-target-url="/index.html" authentication- 
             success-handler-ref="successHandler" always-use-default- 
    target="true"/>
    <security:logout logout-success-url="/login.jsp"/>

但这仍然不起作用，并给我403状态的CSRF相关错误-

 Type Status Report
 Message Could not verify the provided CSRF token because your session was 
 not found.
 Description The server understood the request but refuses to authorize it.

我错过了什么吗？

Answer 1

我终于发现了问题。实际上，在我们的应用程序A中，我们有一个URI的列表，可以由这个应用程序B处理，否则它会将请求转发给另一个应用程序。

所以之前的“j_spring_security_check”就在这个列表中。但我没有在列表中添加“/login”。

在该应用程序B上，CSRF未被禁用，因此导致了问题。