无法验证提供的CSRF令牌，因为在Spring Security中找不到您的会话

Question

我正在使用Spring Security和java配置

@Override
protected void configure(HttpSecurity http) throws Exception { 
    http
    .authorizeRequests()
    .antMatchers("/api/*").hasRole("ADMIN")
    .and()
    .addFilterAfter(new CsrfTokenResponseHeaderBindingFilter(), CsrfFilter.class)
    .exceptionHandling()
    .authenticationEntryPoint(restAuthenticationEntryPoint)
    .and()
    .formLogin()
    .successHandler(authenticationSuccessHandler)
    .failureHandler(new SimpleUrlAuthenticationFailureHandler());

我正在使用PostMan测试我的REST服务。我成功获取了“csrf令牌”，并且我能够使用请求头中的X-csrf-token登录。但在登录后，当我点击post请求时（我在请求头中包含了用于登录post请求的相同令牌），我会收到以下错误消息：

HTTP状态403-无法验证提供的CSRF令牌，因为找不到您的会话。

谁能告诉我我做错了什么吗。

Answer 1

禁用CSRF保护是一个坏主意。

Spring将在每个请求后自动生成一个新的CSRF令牌，您需要将其包含在所有具有副作用的HTTP请求中（PUT、POST、PATCH、DELETE）

在Postman中，您可以在每个请求中使用测试将CSRF令牌存储在全局中，例如在使用CookieCsrfTokenRepository时

pm.globals.set("xsrf-token", postman.getResponseCookie("XSRF-TOKEN").value);

然后将其作为标题包含在key和value中。

Answer 2

试试这个：@覆盖受保护的布尔值sameSource禁用（）{返回true；}

@Configuration
public class WebSocketSecurityConfig extends AbstractSecurityWebSocketMessageBrokerConfigurer {

    ...

    // Determines if a CSRF token is required for connecting. This protects against remote
    // sites from connecting to the application and being able to read/write data over the
    // connection. The default is false (the token is required).
    @Override
    protected boolean sameOriginDisabled() {
        return true;
    }
}

来源：WebSocket安全：禁用WebSocket内的CSRF

Answer 3

根据spring.io：

什么时候应该使用CSRF保护？我们的建议是对普通用户可以通过浏览器处理的任何请求使用CSRF保护。如果您只创建非浏览器客户端使用的服务，您可能希望禁用CSRF保护。

所以要禁用它：

@Configuration
public class RestSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable();
  }
}

注意：默认情况下，通过Java配置启用CSRF保护