Spring防尘套执行器禁用csrf

Question

我使用了不同端口的Spring启动执行器，如下所示

server.port=8080
management.port=8989

在应用程序中，我想在执行器端口中使用启用csrf=true，但我不想使用csrf。因为我想对jolokia使用批量POST请求。

只排除/执行器并不聪明。

http.csrf().ignoringAntMatchers("/actuator/**");

下面的属性对我很好（bt管理。安全。启用csrf不存在）。

security.enable-csrf=true
management.security.enable-csrf=false

有什么好的解决办法吗？

Answer 1

由于您有不同的管理端口，您可以简单地为此禁用CSRF：

@Configuration
public class MySecurityConfiguration extends WebSecurityConfigurerAdapter {

    private static RequestMatcher allOf(RequestMatcher... requestMatchers) {
        return new AndRequestMatcher(requestMatchers);
    }

    private static RequestMatcher not(RequestMatcher requestMatcher) {
        return new NegatedRequestMatcher(requestMatcher);
    }

    private final ManagementServerProperties managementServerProperties;

    public MySecurityConfiguration(ManagementServerProperties managementServerProperties) {
        this.managementServerProperties = Objects.requireNonNull(managementServerProperties);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().requireCsrfProtectionMatcher(
                allOf(CsrfFilter.DEFAULT_CSRF_MATCHER, not(accessingManagementPort())));
        // other configuration
    }

    private RequestMatcher accessingManagementPort() {
        return httpServletRequest -> httpServletRequest.getLocalPort() == managementServerProperties.getPort();
    }

}