Spring（Spring Boot）如何向前端提供CSRF令牌？

Question

我正在尝试将CSRF保护添加到基于Spring-Boot（尤其是WebFlux）的项目中。

到目前为止，我所尝试的是低于安全配置。

@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {

    http.
        ...
        .and()
        .csrf()
        .csrfTokenRepository(CookieServerCsrfTokenRepository.withHttpOnlyFalse())
        .requireCsrfProtectionMatcher(
            new NegatedServerWebExchangeMatcher(
                new OrServerWebExchangeMatcher(
                    Arrays.asList(
                        ServerWebExchangeMatchers.pathMatchers(HttpMethod.POST, FORM_LOGIN_URL),
                        ServerWebExchangeMatchers
                            .pathMatchers(HttpMethod.GET, PERMISSION_ENDPOINT)
                    )
                )
            )
        )
        .accessDeniedHandler(new CustomHttpStatusServerAccessDeniedHandler(HttpStatus.FORBIDDEN))
        ...;

    return http.build();
}

但当我尝试上述配置时，我看不到任何与CSRF令牌从服务器推送到浏览器相关的内容。它不是默认推送到客户端吗？如果是这样的话，向客户端（浏览器）提供CSRF令牌的更干净的方法是什么？其中spring文档提到了这一点。（我跟着这个-

P、 S.（希望以下信息对回答有用）

• Spring Boot Webflux应用程序未提供我的登录表单。它由运行在不同域（不同IP）上的角度应用程序提供服务

Answer 1

这一部分的文档记录有点糟糕，但显然，除非您订阅结果，否则不会保存csrf令牌。

@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {

   final CookieServerCsrfTokenRepository cookieServerCsrfTokenRepository = new CookieServerCsrfTokenRepository();
        cookieServerCsrfTokenRepository.setCookieHttpOnly(false);

    http.csrf()
            .csrfTokenRepository(cookieServerCsrfTokenRepository)
            .and()
            .cors()

             ...
}

// Add a tiny webfilter that just subscribes
@Bean
public WebFilter addCsrfToken() {
    return (exchange, next) -> exchange.<Mono<CsrfToken>>getAttribute(CsrfToken.class.getName())
                .doOnSuccess(token -> {}) // do nothing, just subscribe :/
                .then(next.filter(exchange));
}

如果您使用的是功能endpoint，则上述解决方案效果良好。您还可以使用ControllerAdvice方法。

@ControllerAdvice
public class SecurityControllerAdvice {@ModelAttribute Mono<CsrfToken> csrfToken(ServerWebExchange exchange) {
        Mono<CsrfToken> csrfToken = exchange.getAttribute(CsrfToken.class.getName());
        return csrfToken.doOnSuccess(token -> exchange.getAttributes()
                .put(CsrfRequestDataValueProcessor.DEFAULT_CSRF_ATTR_NAME, token));
    }
}

github上有一个开放的bug报告

CookieServerCsrfTokenRepository未添加cookie