Spring Security CookieBasedCSrf不工作

Question

我正在开发一个带有Angular2前端的RESTful Spring后端。我将访问令牌（JWT实现）存储在httponlycookie中。为了保护自己免受对post请求的XSRF攻击，我需要在所有页面上启用XSRF保护，登录页面除外。根据这里的Spring Security指南，我启用了cookiecsrftokenrepository。

但是，当我访问公共API(get)时，没有设置XSRF-TOKEN。此外，当我从Angular2提交我的登录表单数据时，系统提示一个“无效csrf令牌”错误。下面是我的WebSecurityConfig:

    http
       .csrf()
           .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
           .and()
       .exceptionHandling()
           .authenticationEntryPoint(this.authenticationEntryPoint)
           .and()
       .sessionManagement()
           .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
           .and()
       .authorizeRequests()
           .antMatchers(TOKEN_REFRESH_ENTRY_POINT).permitAll() // Token refresh end-point
           .antMatchers(TOKEN_CSRF_ENTRY).permitAll()
           .and()
       .authorizeRequests()
           .antMatchers(TOKEN_BASED_AUTH_ENTRY_POINT).authenticated() // Protected API End-points
           .and()
       .cors()
           .and()
       .addFilterBefore(buildAjaxLoginProcessingFilter(), UsernamePasswordAuthenticationFilter.class)
       .addFilterBefore(buildJwtTokenAuthenticationProcessingFilter(), UsernamePasswordAuthenticationFilter.class);

Answer 1

您不应该通过HTTPget获取CSRF令牌，请参阅Spring Security Reference：

使用正确的HTTP谓词

防止CSRF攻击的第一步是确保您的网站使用正确的HTTP谓词。具体地说，在Spring Security的CSRF支持发挥作用之前，您需要确定您的应用程序正在对任何修改状态的内容使用PATCH、POST、PUT和/或DELETE。

为了防止伪造登录请求，日志表单也应该防止CSRF攻击。

但您可以将某些URL排除在CSRF保护之外,并将某些HTTP谓词包含在CSRF保护中,请参阅Spring Security Reference：

您还可以指定一个自定义的RequestMatcher来确定哪些请求受CSRF保护（也就是说，您可能不关心是否利用了注销）。简而言之，如果Spring Security的CSRF保护的行为不完全符合您的要求，您可以自定义该行为。有关如何使用XML进行这些自定义的详细信息，请参阅第41.1.18节“ ”文档；有关使用Java配置时如何进行这些自定义的详细信息，请参阅 csrfconfigureerjavadoc。