如何为Spring Security 3.2添加csrf令牌以立即上传文件？

Question

我一直在尝试在具有Spring Security 3.2的Spring应用程序中为文件上传添加CSRF令牌。Spring Security CSRF留档建议我们在Spring Security过滤器之前添加MultipartFilter，以便在完全没有Spring Security的情况下临时文件上传成为可能（因此也无需CSRF检查）。但这不会不安全吗？虽然，为了至少有一个工作的软件，我应用了上述方法，但它不起作用。在错误日志中，看起来多部分过滤器在Spring Security过滤器之前被触发，但它仍然在Spring Security过滤器中，然后进入CSRF过滤器。我正在使用

我可以在应用这个方面得到一些帮助吗？如果我们可以添加CSRF令牌本身，而不是绕过安全过滤器，那就更好了。




Answer 1

MultipartFilter不会阻止调用Spring Security过滤器。但通过将其作为过滤器链中的第一个过滤器，当正文中有一个csrf令牌作为参数可用时，它可以使csrf令牌过滤器从正文中提取csrf令牌并进行验证。

简短回答

您仍然需要发送csrf令牌，但可以在正文中作为隐藏参数发送，也可以在url中作为查询参数发送。

注：

>

如果不清楚，只需让GET和POST请求在没有fileupload的情况下工作，就可以了解csrf流

备选方案：仅在文件上载时跳过csrf

    @Override
    protected void configure(HttpSecurity http) throws Exception {


        http.csrf()
                .requireCsrfProtectionMatcher(new CustomRequiresCsrfMatcher())
            .and()
            ......
    }

    private static final class CustomRequiresCsrfMatcher 
                                implements RequestMatcher {
        private final HashSet<String> allowedMethods = new HashSet<>(
                Arrays.asList("GET", "HEAD", "TRACE", "OPTIONS"));


        @Override
        public boolean matches(HttpServletRequest request) {
            String upload_url = "your file upload url";//update it
            
            return !this.allowedMethods.contains(request.getMethod()) &&
                     
                 !request.getRequestURL().toString().contains(upload_url);
        }
    }