Spring security 3.2.0 RC1 csrf，带多部分/表单数据

Question

我一直在使用Spring Security 3.2.0中的新csrf功能。并注意到它似乎不适用于enctype=“多部分/表单数据”表单。

我有一个简单的Spring形状：

<%@ taglib prefix="form" uri="http://www.springframework.org/tags/form" %>
...
<form:form action="${pageContext.request.contextPath}/model/create" modelAttribute="myForm" enctype="multipart/form-data">

隐藏的csrf输入按预期呈现：

<input type="hidden" value="..." name="_csrf">

但是请求没有通过csrf检查（如果我删除enctype="multipart/form-data"，它会很好地工作）。我发现的唯一方法是附加“？_csrf=...”到我的操作url，这是丑陋的，因为令牌会在重定向时出现在地址栏中。有人经历过同样的/找到了一个好的解决方案吗？

Answer 1

目前CSFR保护需要/读取请求参数，但是由于您的表单类型不同，表单内容不能作为请求参数使用。如果您将其添加到URL中，它将作为请求参数可用。

在DispatcherServlet内部有多部分检测，这样的请求被包装在多部分服务请求的实现中，该实现对多部分请求进行解码，并将内容作为请求参数提供。

然而，Spring Security过滤器在此之前执行。在有最终解决方案之前，您可以配置MultipartFilter并在Spring Security过滤器链之前执行它。这基本上是在DispatcherServlet之前进行包装和解码。这里要提醒的一件事是，您还需要将其放在Spring Security过滤器之前。

示例配置和其他解决方案可以在《Spring Security参考指南》中找到。