Spring Security 3.2、CSRF和多部分请求

Question

这个问题与此url中的问题有关，Spring Security 3.2 CSRF支持多部分请求

我尝试了完全相同的设置以及要点，但我无法让它工作，除非我在url中有_csrf令牌。我在表单正文中将其作为隐藏字段，并在安全过滤器之前指定了过滤器，但没有任何乐趣，每次使用无效csrf令牌的调试日志消息时都会失败

在此方面的任何帮助都将不胜感激

干杯Damien

Answer 1

如果没有要点，很难找到，但我终于明白了！

事实上，它与Spring Security无关。真正的问题只出在SpringFramework的多部分配置中。但正因为如此，请求似乎根本没有参数（既不是_csrf，也不是file），第一个检测到它的是CsrfFilter。我删除了所有关于html" target="_blank">安全的内容，错误是请求的参数文件不存在（或者类似的东西...）

如Spring Framework手册所述，multipart可以通过两种方式进行处理：

>

使用Apache commons文件上载

使用servlet 3.0配置

1. 您遵循了相关帖子的第一个解决方案，并在mvc dispatcher servlet中配置了CommonsMultipartResolver。xml。第一个问题是，MultipartFilter与全局servlet上下文相关，并在根应用程序上下文而不是特定于servlet的上下文中查找其MultipartResolver

第二个问题是您忘记在pom.xml中添加对Apache公共文件上传的依赖。

因此，您必须首先在pom中添加这种依赖性。xml

<dependency>
    <groupId>commons-fileupload</groupId>
    <artifactId>commons-fileupload</artifactId>
    <version>1.3.1</version>
</dependency>

接下来，必须从mvc dispatcher servlet中删除filterMultipartResolver bean。xml，并在根应用程序上下文中声明它。作为一个快速而肮脏的修复，您可以将其添加到spring security中。xml：

<beans:bean id="filterMultipartResolver"
      class="org.springframework.web.multipart.commons.CommonsMultipartResolver">
    <beans:property name="maxUploadSize" value="100000000" />
</beans:bean>

您只需添加一个

<servlet>
    <servlet-name>dispatcher</servlet-name>
    <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
    <multipart-config>
        <!--location>/tmp</location-->
        <max-file-size>1000000</max-file-size>
    </multipart-config>
</servlet>