Spring Boot、Spring Security和Thymeleaf：使用表单将CsrfFilter应用于网站

Question

我将Spring Security与Thymeleaf结合使用，并希望在不同的站点上创建一个登录和注册表单，以同时使用CSRF保护。保护登录站点很容易，就像下面的Web安全配置一样

@Override
protected void configure(final HttpSecurity http) throws Exception {
    http
            .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
            .requestMatchers()
            .antMatchers("/login", "/oauth/authorize", "/oauth/confirm_access")
            .and()
            .authorizeRequests()
            .anyRequest()
            .authenticated();
}

Spring通常支持通过配置方法中构建的安全过滤器链添加CSRF保护。此过滤器链包含一个添加/评估CSRF令牌的CSRFFilter。然后将此过滤器链用于上述配置中定义的所有匹配项。获取应用于请求的过滤器的机制可以在方法中找到

doFilterInternal（ServletRequest、ServletResponse、FilterChain）

问题是，如果我将“/注册”站点添加到此配置中，用户将首先重定向到“/登录”站点。如果我不将其添加到上述配置中，则不会应用所提到的FilterChain（因此也不会应用CsrfFilter）。

所以我想要的是在“/注册”站点的过滤器链中重用CsrfFilter，但我不知道如何做到这一点。

我更喜欢这种方法，而不是像这里或这里建议的那样编写自定义CSRF过滤器。

Answer 1

事实证明，Spring Security过滤器链应用于提供给requestMatchers（）的列表中提到的所有endpoint。antMatchers（）。

因此，要对不是登录站点的站点使用CSRF保护，我只需将其添加到此列表中，然后允许所有访问它，因此不会重定向到登录页面。我的最终配置如下所示

@Override
protected void configure(final HttpSecurity http) throws Exception {
    http.requestMatchers()
            // consider these patterns for this config and the Security Filter Chain
            .antMatchers("/login", "/register", "/oauth/authorize", "/oauth/confirm_access", "/oauth/token_key",
                    "/oauth/check_token", "/oauth/error")
            .and()
            // define authorization behaviour
            .authorizeRequests()
            // /register is allowed by anyone
            .antMatchers("/register").permitAll()
            // /oauth/authorize needs authentication; enables redirect to /login
            .antMatchers("/oauth/authorize").authenticated()
            // any other request in the patterns above are forbidden
            .anyRequest().denyAll()
            .and()
            .formLogin()
            // we have a custom login page at /login
            // that is permitted to everyone
            .loginPage("/login").permitAll();
}

Answer 2

从这一切中，我了解到问题在于，您希望人们无需先登录即可访问/注册。这是一个简单的修复：

@Override
protected void configure(final HttpSecurity http) throws Exception {
    http
            .formLogin()
            .loginPage("/login")
            .permitAll()
            .and()
            .requestMatchers()
// add this line
.antMatchers("/register").permitAll().and

//
            .antMatchers("/login", "/oauth/authorize", "/oauth/confirm_access")
            .and()
            .authorizeRequests()
            .anyRequest()
            .authenticated();
}