仅使用Spring Security CSRF功能

Question

我想只使用Spring Security的CSRF功能而不使用任何其他身份验证/授权功能，因为这些功能是由第三方提供商为我提供的。如果可以做到这一点，我如何告诉Spring不要寻找任何具有其依赖bean的身份验证管理器，只需拦截所有URL，并添加csrf令牌。

Answer 1

如果您打算只使用其CSRF保护，我个人会避免包括Spring Security过滤器链。如果没有正确的配置，最终会给应用程序增加不必要的逻辑负担。

Spring Security中的CSRF保护由org.springframework.security.web.csrf.CsrfFilterservlet Filter提供。

默认情况下，过滤器将预期的CSRF令牌存储在HttpSession上。

您可以很容易地实现类似的东西，或者尝试仅在servlet过滤器链/web中声明此过滤器。xml。

Answer 2

您可以尝试以下操作：

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .anyRequest().permitAll();
    }

CSRF按默认情况启用。您可以使用（例如在thymeleaf中）：

<meta name="_csrf" value="dummy" th:value="${_csrf.token}" />

Answer 3

通过进行以下更改/添加，我使CSRF功能正常工作。此外，我还使用了<代码>

罐子添加：

spring-security-acl-4.0.0.RC1.jar
spring-security-config-4.0.0.RC1.jar
spring-security-core-4.0.0.RC1.jar
spring-security-taglibs-4.0.0.RC1.jar
spring-security-web-4.0.0.RC1.jar

网状物xml添加：

<filter>
  <filter-name>springSecurityFilterChain</filter-name>
  <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>

<filter-mapping>
  <filter-name>springSecurityFilterChain</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

新增java文件：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class TgtWebSecurityConfigureAdapter extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .anyRequest().permitAll();
    }
}

Marco-仅使用CSRF滤波器无法工作。