带Spring和角度2的CSRF

Question

我正在尝试使用Spring Security（4.1.3）和Angular 2.0.1实现CSRF保护

相关话题的来源很多，但我找不到明确的说明。有些说法甚至相互矛盾。

我读过关于springs的操作方法（尽管指南中描述了Angular 1 way）Spring Security guide，其中包含Angular，即。csrf（）。csrfTokenRepository（CookieSrftokenRepository.withHttpOnlyFalse（））

一切都应该“开箱即用”。此外，《角度安全指南》将CSRF保护描述为内置。

在我的环境中，帖子如下所示：

• 有一个OPTIONS-call返回POST、200 OK和一个XSRF-TOKEN-cookie。
• 我的http.post添加了一个授权标头，并添加了Request estOption"有凭据"
• 它发送三个cookie，两个JSessionID和一个与OPTIONS-call接收到的不同的XSRF-TOKEN，没有XSRF标头。
• 调试Spring CsrfFilter显示它查找名为X-XSRF-TOKEN的标头，并将其与名为XSRF-TOKEN的cookie中的令牌进行比较。

为什么Angular不也发送标题？如果Spring只检查提供的cookie和提供的标头，而没有任何服务器端操作，那么这种安全性如何？

有一些类似的问题，但只有0票的答案似乎（对我来说）完全错误，因为根据我的理解，CSRF必须有一个cookie验证的服务器端检查。

此问题仅提供有关如何更改cookie或标头名称的信息，如此处所述

我在这里错过了什么？我怀疑Spring Security实现中存在错误，但我无法让它正常工作。

有什么想法吗？

通话后

login(account: Account): Promise<Account> {  


   let headers = new Headers({ 'Content-Type': 'application/json' });
    headers.append('X-TENANT-ID', '1');
    headers.append('Authorization', 'Basic ' + btoa(account.userName + ':' + account.password));
    let options = new RequestOptions({ headers: headers, withCredentials:true });
   return this.http.post(this.loginUrl, account, options).toPromise()
  .then(this.extractData)
  .catch(this.handleError)

}

Spring Security配置

 [] csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())




Answer 1

问题是应用程序路径。Spring可以选择在其管道中设置cookie路径，但尚未发布。

我必须为CsrfTokenRepository编写自己的实现，它将接受不同的cookie路径。

这些是相关位：

public final class CookieCsrfTokenRepository implements CsrfTokenRepository

private String cookiePath;

 @Override
public void saveToken(CsrfToken token, HttpServletRequest request, HttpServletResponse response) {
    String tokenValue = token == null ? "" : token.getToken();
    Cookie cookie = new Cookie(this.cookieName, tokenValue);
    cookie.setSecure(request.isSecure());
    // cookie.setPath(getCookiePath(request));
    if (this.cookiePath != null && !this.cookiePath.isEmpty()) {
        cookie.setPath(this.cookiePath);
    } else {
        cookie.setPath(getRequestContext(request));
    }

    if (token == null) {
        cookie.setMaxAge(0);
    } else {
        cookie.setMaxAge(-1);
    }
    if (cookieHttpOnly && setHttpOnlyMethod != null) {
        ReflectionUtils.invokeMethod(setHttpOnlyMethod, cookie, Boolean.TRUE);
    }

    response.addCookie(cookie);
}

public void setCookiePath(String path) {
    this.cookiePath = path;
}

public String getCookiePath() {
    return this.cookiePath;
}