Spring Security —漏洞防护—跨站请求伪造（CSRF）

在终端用户可以 登录 的应用程序中，必须考虑如何防止 跨站请求伪造（CSRF）。

Spring Security 默认为 不安全的HTTP方法（如POST请求）提供CSRF攻击防护，因此无需额外代码。你可以使用下面的方法明确指定默认配置：

Configure CSRF Protection

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.csrf(Customizer.withDefaults());
		return http.build();
	}
}

一、了解 CSRF 保护的组件

CSRF 保护由 CsrfFilter 中的几个组件提供：

Figure 1. CsrfFilter Components

CSRF 保护分为两部分：

  1. 通过委托 CsrfTokenRequestHandler，使应用程序可以使用 CsrfToken。
  2. 确定请求是否需要 CSRF 保护，加载并验证 token，处理 handle AccessDeniedException。

Figure 2. CsrfFilter Processing

  • 首先， DeferredCsrfToken 被加载，其中保存了对 CsrfTokenRepository 的引用，以便在稍后加载持久化的 CsrfToken（在第 步）。
  • 其次，Supplier<CsrfToken>（由 DeferredCsrfToken 创建）被提供给 CsrfTokenRequestHandler，CsrfTokenRequestHandler 负责填充请求属性，使 CsrfToken 对应用程序的其他部分可用。
  • 接下来，开始主要的 CSRF 保护处理，并检查当前请求是否需要CSRF保护。如果不需要，则继续 filter chain 并结束处理。
  • 如果需要CSRF保护，则从 DeferredCsrfToken 中加载持久化的 CsrfToken。
  • 继续使用 CsrfTokenRequestHandler 解析客户端提供的实际CSRF token（如有）。
  • 将实际 CSRF token 与持久化的 CsrfToken 进行比较。如果有效，则继续 filter chain 并结束处理。
  • 如果实际的 CSRF token 无效（或缺失），AccessDeniedException 将被传递给 AccessDeniedHandler 并结束处理。

二、迁移到 Spring Security 6

当从 Spring Security 5 迁移到 Spring Security 6 时，有一些变化可能会影响你的应用程序。以下是Spring Security 6 中 CSRF 保护方面变化的概述：

  • CsrfToken 的加载现在 默认为延迟加载，不再要求每次请求都加载 session，从而提高了性能。
  • The CsrfToken now includes randomness on every request by default to protect the CSRF token from a BREACH attack.

CsrfToken 现在默认在 每个请求中包含随机性，以保护 CSRF token 免受 BREACH 攻击。

Spring Security 6 中的变化要求对单页应用程序进行额外的配置，因此你可能会发现 单页应用（SPA） 部分特别有用。

有关迁移 Spring Security 5 应用程序的更多信息，请参见 迁移 一章中的 漏洞利用保护 部分。

三、持久化CsrfToken

CsrfToken 使用 CsrfTokenRepository 持久化。

默认情况下，HttpSessionCsrfTokenRepository 用于在 session 中存储 token。Spring Security 还提供了用于在 cookie 中存储 token 的 CookieCsrfTokenRepository。你也可以 指定自己的实现 来存储 token。

1、使用HttpSessionCsrfTokenRepository

默认情况下，Spring Security 通过使用 HttpSessionCsrfTokenRepository 将预期的 CSRF 令牌存储在 HttpSession 中，因此无需额外代码。

HttpSessionCsrfTokenRepository 从名为 X-CSRF-TOKEN 的 HTTP 请求 header 或默认的请求参数 _csrf 中读取令牌。

你可以使用以下配置明确指定默认配置：

Configure HttpSessionCsrfTokenRepository

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.csrf((csrf) -> csrf
				.csrfTokenRepository(new HttpSessionCsrfTokenRepository())
			);
		return http.build();
	}
}

2、使用CookieCsrfTokenRepository

你可以使用 CookieCsrfTokenRepository 将 CsrfToken 持久化在 cookie 中，以支持 基于 JavaScript 的应用程序。

CookieCsrfTokenRepository 写入名为 XSRF-TOKEN 的 cookie，并从名为 X-XSRF-TOKEN 的 HTTP 请求头或默认的请求参数 _csrf 中读取。这些默认值来自 Angular 及其前身 AngularJS。

请参阅 跨站请求伪造（XSRF）保护 指南和 HttpClientXsrfModule，了解有关此主题的更多最新信息。

你可以使用以下配置配置 CookieCsrfTokenRepository：

Configure CookieCsrfTokenRepository

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.csrf((csrf) -> csrf
				.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
			);
		return http.build();
	}
}

该示例明确地将 HttpOnly 设置为 false。这是允许 JavaScript框架（如Angular）读取它的必要条件。如果你不需要直接用 JavaScript 读取 cookie，我们建议你省略 HttpOnly（使用 new CookieCsrfTokenRepository() 代替）以提高安全性。

3、自定义CsrfTokenRepository

在某些情况下，你需要实现一个自定义的 CsrfTokenRepository。

一旦实现了 CsrfTokenRepository 接口，就可以通过以下配置来使用 Spring Security：

Configure Custom CsrfTokenRepository

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.csrf((csrf) -> csrf
				.csrfTokenRepository(new CustomCsrfTokenRepository())
			);
		return http.build();
	}
}

四、处理 theCsrfToken

CsrfToken 通过 CsrfTokenRequestHandler 提供给应用程序。该组件还负责从 HTTP header 或请求参数中解析 CsrfToken。

默认情况下，XorCsrfTokenRequestAttributeHandler 用于提供 CsrfToken 的 BREACH 保护。Spring Security 还提供了 CsrfTokenRequestAttributeHandler 用于选择退出 BREACH 保护。你也可以指定 自己的实现 来定制处理和解析 token 的策略。

1、使用XorCsrfTokenRequestAttributeHandler（BREACH）

XorCsrfTokenRequestAttributeHandler 使 CsrfToken 作为名为 _csrf 的 HttpServletRequest attribute 可用，并提供额外的 BREACH 保护。

CsrfToken 也可作为 request attribute 使用，名称为 CsrfToken.class.getName()。该名称不可配置，但可以使用 XorCsrfTokenRequestAttributeHandler#setCsrfRequestAttributeName 更改名称 _csrf。

该实现还将来自请求的 token 值解析为请求头（默认为 X-CSRF-TOKEN 或 X-XSRF-TOKEN 之一）或请求参数（默认为 _csrf）。

通过将随机性编码到 CSRF token 值中，以确保每次请求时返回的 CsrfToken 都会发生变化，从而提供 BREACH 保护。当 token 随后被解析为 header 值或请求参数时，将对其进行解码以获得原始 token，然后将其与持久化的 CsrfToken 进行比较。

Spring Security 默认保护 CSRF token 免受 BREACH 攻击，因此无需额外代码。你可以使用以下配置明确指定默认配置：

Configure BREACH protection

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.csrf((csrf) -> csrf
				.csrfTokenRequestHandler(new XorCsrfTokenRequestAttributeHandler())
			);
		return http.build();
	}
}

2、使用CsrfTokenRequestAttributeHandler

CsrfTokenRequestAttributeHandler 使 CsrfToken 作为名为 _csrf 的 HttpServletRequest attribute 可用。

CsrfToken 也可作为 request attribute 使用，名称为 CsrfToken.class.getName()。该名称不可配置，但可使用 CsrfTokenRequestAttributeHandler#setCsrfRequestAttributeName 更改名称 _csrf。

该实现还将来自请求的 token 值解析为请求头（默认为 X-CSRF-TOKEN 或 X-XSRF-TOKEN 之一）或请求参数（默认为 _csrf）。

CsrfTokenRequestAttributeHandler 的主要用途是选择退出 CsrfToken 的 BREACH 保护，可通过以下配置进行配置：

Opt-out of BREACH protection

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.csrf((csrf) -> csrf
				.csrfTokenRequestHandler(new CsrfTokenRequestAttributeHandler())
			);
		return http.build();
	}
}

3、自定义CsrfTokenRequestHandler

你可以实现 CsrfTokenRequestHandler 接口来定制处理和解析 token 的策略。

CsrfTokenRequestHandler 接口是一个 @FunctionalInterface 接口，可以使用 lambda 表达式实现，以自定义请求处理。你需要实现完整的接口来定制如何从请求中解析 token。请参阅 Configure CSRF for Single-Page Application，以了解使用委托实现自定义策略来处理和解析 token 的示例。

一旦你实现了 CsrfTokenRequestHandler 接口，你就可以通过以下配置来使用 Spring Security：

Configure Custom CsrfTokenRequestHandler

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.csrf((csrf) -> csrf
				.csrfTokenRequestHandler(new CustomCsrfTokenRequestHandler())
			);
		return http.build();
	}
}

五、延迟加载CsrfToken

默认情况下，Spring Security 会推迟加载 CsrfToken，直到需要时才加载。

在使用 不安全 HTTP 方法（如 POST）进行请求时，都需要使用 CsrfToken。此外，任何将 token 呈现在响应中的请求都需要该 token，例如带有 <form> 标签的网页，该标签包含一个用于 CSRF token 的隐藏 <input>。

由于 Spring Security 默认将 CsrfToken 存储在 HttpSession 中，因此延迟 CSRF token 无需在每个请求中加载 session，从而提高了性能。

如果你不希望使用延迟 token，而希望在每次请求时加载 CsrfToken，可以通过以下配置实现：

Opt-out of Deferred CSRF Tokens

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		XorCsrfTokenRequestAttributeHandler requestHandler = new XorCsrfTokenRequestAttributeHandler();
		// set the name of the attribute the CsrfToken will be populated on
		requestHandler.setCsrfRequestAttributeName(null);
		http
			// ...
			.csrf((csrf) -> csrf
				.csrfTokenRequestHandler(requestHandler)
			);
		return http.build();
	}
}

通过将 csrfRequestAttributeName 设置为 null，必须首先加载 CsrfToken 以确定使用什么属性名。这将导致每次请求都加载 CsrfToken。

六、与 CSRF 保护整合

为了使 同步 token 模式 能够抵御 CSRF 攻击，我们必须在HTTP请求中包含实际的 CSRF 令牌。这必须包含在请求的某个部分（表单参数、HTTP头或其他部分）中，浏览器不会自动将其包含在 HTTP 请求中。

以下章节介绍了前端或客户端应用程序与受 CSRF 保护的后端应用程序集成的各种方式：

  • HTML 表单
  • JavaScript 应用
  • 移动端应用

1、HTML 表单

要提交 HTML 表单，CSRF 令牌必须作为 hidden input 包含在表单中。例如，渲染的 HTML 可能如下所示：

CSRF Token in HTML Form

<input type="hidden"
	name="_csrf"
	value="4bfd1575-3ad1-4d21-96c7-4ef2d9f86721"/>

以下视图技术会自动在具有不安全 HTTP 方法（如 POST）的表单中包含实际的 CSRF token：

  • Spring 的表单标签库
  • Thymeleaf
  • 与 RequestDataValueProcessor 集成的任何其他视图技术（通过 CsrfRequestDataValueProcessor）。
  • 你也可以通过 csrfInput 标签自行包含 token。

如果没有这些选项，你可以利用 CsrfToken 作为 名为 _csrf 的 HttpServletRequest 属性 这一事实。下面的示例通过JSP实现了这一点：

CSRF Token in HTML Form with Request Attribute

<c:url var="logoutUrl" value="/logout"/>
<form action="${logoutUrl}"
	method="post">
<input type="submit"
	value="Log out" />
<input type="hidden"
	name="${_csrf.parameterName}"
	value="${_csrf.token}"/>
</form>

2、JavaScript 应用

JavaScript 应用程序通常使用 JSON 而不是 HTML。如果使用 JSON，则可以在 HTTP 请求头而不是请求参数中提交 CSRF token。

为了获取CSRF token，你可以配置 Spring Security 将预期的 CSRF token 存储在cookie中。通过在 cookie 中存储预期 token， Angular 等 JavaScript 框架可以自动将实际的 CSRF token 作为 HTTP 请求头。

在将单页面应用程序（SPA）与 Spring Security 的 CSRF 保护集成时，需要特别考虑 BREACH 保护和延迟 token。下一节 将提供完整的配置示例。

你可以在下面的章节中了解不同类型的 JavaScript 应用程序：

  • 单页应用（SPA）
  • 多页应用
  • 其他 JavaScript 应用

单页应用（SPA）

将单页应用程序（SPA）与 Spring Security 的 CSRF 保护集成在一起有一些特殊的注意事项。

回想一下，Spring Security 默认为 CsrfToken 提供 BREACH 保护。当 在 cookie 中 存储预期的 CSRF token 时，JavaScript 应用程序将只能访问纯 token 值，而无法访问编码值。需要提供 自定义的 request handler 来解析实际 token 值。

此外，存储 CSRF token 的 cookie 将在验证成功和注销成功时被清除。默认情况下，Spring Security会延迟加载新的 CSRF token，返回一个新的 cookie 需要额外的工作。

认证成功和注销成功后需要刷新令牌，因为 CsrfAuthenticationStrategy 和 CsrfLogoutHandler 会清除之前的令牌。在未获得新令牌的情况下，客户端应用程序将无法执行不安全的 HTTP 请求，如 POST。

为了轻松地将单页应用程序与 Spring Security 集成，可以使用以下配置：

Configure CSRF for Single-Page Application

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.csrf((csrf) -> csrf
				.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())   
				.csrfTokenRequestHandler(new SpaCsrfTokenRequestHandler())            
			)
			.addFilterAfter(new CsrfCookieFilter(), BasicAuthenticationFilter.class); 
		return http.build();
	}
}

final class SpaCsrfTokenRequestHandler extends CsrfTokenRequestAttributeHandler {
	private final CsrfTokenRequestHandler delegate = new XorCsrfTokenRequestAttributeHandler();

	@Override
	public void handle(HttpServletRequest request, HttpServletResponse response, Supplier<CsrfToken> csrfToken) {
		/*
		 * Always use XorCsrfTokenRequestAttributeHandler to provide BREACH protection of
		 * the CsrfToken when it is rendered in the response body.
		 */
		this.delegate.handle(request, response, csrfToken);
	}

	@Override
	public String resolveCsrfTokenValue(HttpServletRequest request, CsrfToken csrfToken) {
		/*
		 * If the request contains a request header, use CsrfTokenRequestAttributeHandler
		 * to resolve the CsrfToken. This applies when a single-page application includes
		 * the header value automatically, which was obtained via a cookie containing the
		 * raw CsrfToken.
		 */
		if (StringUtils.hasText(request.getHeader(csrfToken.getHeaderName()))) {
			return super.resolveCsrfTokenValue(request, csrfToken);
		}
		/*
		 * In all other cases (e.g. if the request contains a request parameter), use
		 * XorCsrfTokenRequestAttributeHandler to resolve the CsrfToken. This applies
		 * when a server-side rendered form includes the _csrf request parameter as a
		 * hidden input.
		 */
		return this.delegate.resolveCsrfTokenValue(request, csrfToken);
	}
}

final class CsrfCookieFilter extends OncePerRequestFilter {

	@Override
	protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
			throws ServletException, IOException {
		CsrfToken csrfToken = (CsrfToken) request.getAttribute("_csrf");
		// Render the token value to a cookie by causing the deferred token to be loaded
		csrfToken.getToken();

		filterChain.doFilter(request, response);
	}
}

配置 CookieCsrfTokenRepository 时，将 HttpOnly 设置为 false，这样 JavaScript 应用程序就可以读取 Cookie。

配置自定义的 CsrfTokenRequestHandler，根据 CSRF token 是 HTTP 请求头（X-XSRF-TOKEN）还是请求参数（_csrf）来解析 CSRF token。

配置一个自定义 Filter，在每次请求时加载 CsrfToken，如果需要，将返回一个新的 cookie。

多页应用

对于在每个页面上加载 JavaScript 的多页面应用程序，除了 在 cookie 中 公开 CSRF token 外，还可以在 meta 标签中包含 CSRF token。HTML可能如下所示

CSRF Token in HTML Meta Tag

<html>
<head>
	<meta name="_csrf" content="4bfd1575-3ad1-4d21-96c7-4ef2d9f86721"/>
	<meta name="_csrf_header" content="X-CSRF-TOKEN"/>
	<!-- ... -->
</head>
<!-- ... -->
</html>

为了在请求中包含 CSRF token，可以利用 CsrfToken 作为 名为 _csrf 的 HttpServletRequest 属性 的事实。下面的示例通过JSP实现了这一点：

CSRF Token in HTML Meta Tag with Request Attribute

<html>
<head>
	<meta name="_csrf" content="${_csrf.token}"/>
	<!-- default header name is X-CSRF-TOKEN -->
	<meta name="_csrf_header" content="${_csrf.headerName}"/>
	<!-- ... -->
</head>
<!-- ... -->
</html>

一旦 meta 标签包含 CSRF token，JavaScript 代码就可以读取 meta 标签，并将 CSRF token 作为 header 包含在内。如果你使用 jQuery，你可以通过以下代码来实现：

Include CSRF Token in AJAX Request

$(function () {
	var token = $("meta[name='_csrf']").attr("content");
	var header = $("meta[name='_csrf_header']").attr("content");
	$(document).ajaxSend(function(e, xhr, options) {
		xhr.setRequestHeader(header, token);
	});
});

其他 JavaScript 应用

JavaScript 应用程序的另一种选择是在 HTTP 响应头中包含 CSRF 令牌。

实现这一点的方法之一是通过使用 CsrfTokenArgumentResolver 的 @ControllerAdvice。下面是一个 @ControllerAdvice 的示例，它适用于应用程序中的所有 controller 端点：

CSRF Token in HTTP Response Header

  • Java
@ControllerAdvice
public class CsrfControllerAdvice {

	@ModelAttribute
	public void getCsrfToken(HttpServletResponse response, CsrfToken csrfToken) {
		response.setHeader(csrfToken.getHeaderName(), csrfToken.getToken());
	}

}

由于该 @ControllerAdvice 适用于应用程序中的所有端点，它将导致 CSRF token 在每个请求中加载，这可能会抵消使用 HttpSessionCsrfTokenRepository 时 延迟 token 的好处。然而，在使用 CookieCsrfTokenRepository 时，这通常不是问题。

重要的是要记住，controller 端点和 controller advice 是在 Spring Security filter chain 之后调用的。这意味着只有当请求通过 filter chain 到达你的应用程序时，才会应用 @ControllerAdvice。请参阅 单页应用程序的配置，了解向 filter chain 添加 filter 以更早访问 HttpServletResponse 的示例。

对于 controller advice 适用的任何自定义端点，CSRF token 现在可以在响应头（默认为X-CSRF-TOKEN 或X-XSRF-TOKEN）中获得。对后端的任何请求都可用于从响应中获取 token，后续请求可将 token 包含在具有相同名称的请求头中。

3、移动端应用

与 JavaScript 应用程序 一样，移动应用程序通常使用 JSON 而不是HTML。不提供浏览器流量的后端应用程序可以选择 禁用 CSRF。在这种情况下，无需额外工作。

但是，如果后端应用程序也提供浏览器流量，因此仍然需要 CSRF 保护，则可以继续将 CsrfToken 存储在 session 中，而不是 cookie 中。

在这种情况下，与后端集成的典型模式是暴露 /csrf 端点，允许前端（移动或浏览器客户端）按需请求 CSRF token。使用这种模式的好处是，CSRF token 可以继续延迟，只有在请求需要 CSRF 保护时才需要从会话中加载。使用自定义端点还意味着客户端应用程序可以通过发出显式请求，要求按需生成新 token（如有必要）。

这种模式可用于需要 CSRF 保护的任何类型的应用程序，而不仅仅是移动应用程序。虽然在这些情况下通常不需要这种方法，但它是与受 CSRF 保护的后端集成的另一种选择。

下面是一个使用 CsrfTokenArgumentResolver 的 /csrf 端点示例：

The /csrf endpoint

  • Java
@RestController
public class CsrfController {

    @GetMapping("/csrf")
    public CsrfToken csrf(CsrfToken csrfToken) {
        return csrfToken;
    }

}

如果上述端点需要与服务器进行身份验证，你可以考虑添加 .requestMatchers("/csrf").permitAll()。

在应用程序启动或初始化时（如加载时），以及在身份验证成功和注销成功后，应调用该端点以获取 CSRF token。

认证成功和注销成功后需要刷新 token，因为 CsrfAuthenticationStrategy 和 CsrfLogoutHandler 会清除之前的 token。在未获得新 token 的情况下，客户端应用程序将无法执行不安全的 HTTP 请求，如 POST。

获得CSRF令牌后，你需要将其作为 HTTP 请求头（默认为 X-CSRF-TOKEN 或 X-XSRF-TOKEN 之一）。

七、处理AccessDeniedException

要处理诸如 InvalidCsrfTokenException 之类的 AccessDeniedException，可以配置 Spring Security 以任何方式处理这些异常。例如，你可以使用以下配置配置自定义拒绝访问页面：

Configure AccessDeniedHandler

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.exceptionHandling((exceptionHandling) -> exceptionHandling
				.accessDeniedPage("/access-denied")
			);
		return http.build();
	}
}

八、CSRF 测试

你可以使用 Spring Security 的 测试支持 和 CsrfRequestPostProcessor 来测试 CSRF 保护，就像这样：

Test CSRF Protection

  • Java
import static org.springframework.security.test.web.servlet.request.SecurityMockMvcRequestPostProcessors.*;
import static org.springframework.security.test.web.servlet.setup.SecurityMockMvcConfigurers.*;
import static org.springframework.test.web.servlet.request.MockMvcRequestBuilders.*;
import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.*;

@ExtendWith(SpringExtension.class)
@ContextConfiguration(classes = SecurityConfig.class)
@WebAppConfiguration
public class CsrfTests {

	private MockMvc mockMvc;

	@BeforeEach
	public void setUp(WebApplicationContext applicationContext) {
		this.mockMvc = MockMvcBuilders.webAppContextSetup(applicationContext)
			.apply(springSecurity())
			.build();
	}

	@Test
	public void loginWhenValidCsrfTokenThenSuccess() throws Exception {
		this.mockMvc.perform(post("/login").with(csrf())
				.accept(MediaType.TEXT_HTML)
				.param("username", "user")
				.param("password", "password"))
			.andExpect(status().is3xxRedirection())
			.andExpect(header().string(HttpHeaders.LOCATION, "/"));
	}

	@Test
	@WithMockUser
	public void logoutWhenValidCsrfTokenThenSuccess() throws Exception {
		this.mockMvc.perform(post("/logout").with(csrf())
				.accept(MediaType.TEXT_HTML))
			.andExpect(status().is3xxRedirection())
			.andExpect(header().string(HttpHeaders.LOCATION, "/login?logout"));
	}
}

九、禁用 CSRF 保护

默认情况下，CSRF 保护是启用的，这会影响 与后台的集成 和应用程序的 测试。在禁用 CSRF 保护之前，请考虑这 对你的应用程序是否有意义。

你还可以考虑是否只有某些端点不需要 CSRF 保护，并配置忽略规则，如下例所示：

Ignoring Requests

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // ...
            .csrf((csrf) -> csrf
                .ignoringRequestMatchers("/api/*")
            );
        return http.build();
    }
}

如果需要禁用 CSRF 保护，可以使用以下配置：

Disable CSRF

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.csrf((csrf) -> csrf.disable());
		return http.build();
	}
}

十、CSRF 注意事项

在实施 CSRF 攻击防护时，有一些特殊的注意事项。本节将讨论与 servlet 环境相关的注意事项。有关更一般性的讨论，请参阅 CSRF 注意事项。

1、登录

对 登录请求要求 CSRF 以防止伪造登录尝试是很重要的。Spring Security 的 Servlet 支持就能做到这一点。

2、注销

对 注销请求要求 CSRF 以防止伪造注销尝试是很重要的。如果启用了CSRF保护（默认），Spring Security 的 LogoutFilter 将只处理 HTTP POST 请求。这将确保注销需要 CSRF token，恶意用户无法强行注销用户。

最简单的方法是使用表单注销用户。如果你真的需要一个链接，你可以使用 JavaScript 让链接执行 POST（也许在一个 hidden 表单上）。对于禁用 JavaScript 的浏览器，你可以选择让链接将用户带到一个执行 POST 的注销确认页面。

如果你真的想在注销时使用 HTTP GET，你可以这样做。但请记住，一般不建议这样做。例如，当使用任何 HTTP 方法请求 /logout URL时，将执行以下操作进行注销：

Log Out with Any HTTP Method

  • Java
@Configuration
@EnableWebSecurity
public class SecurityConfig {

	@Bean
	public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
		http
			// ...
			.logout((logout) -> logout
				.logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
			);
		return http.build();
	}
}

更多信息请参阅 注销 章节。

3、CSRF 和 session 超时

默认情况下，Spring Security 使用 HttpSessionCsrfTokenRepository 将 CSRF token 存储在 HttpSession 中。这可能会导致 session 过期，从而没有 CSRF token 进行验证。

我们已经讨论了 session 超时的 一般解决方案。本节将讨论与 servlet 支持相关的 CSRF 超时的具体问题。

你可以将 CSRF token 存储在 cookie 中。详情请参阅 使用 CookieCsrfTokenRepository 部分。

如果 token 过期，你可能希望通过指定 自定义的 AccessDeniedHandler 来自定义处理方式。自定义的 AccessDeniedHandler 可以任意处理 InvalidCsrfTokenException。

4、Multipart（文件上传）

我们 已经讨论过 保护 multipart 请求（文件上传）免受CSRF攻击如何导致 鸡和蛋 的问题。当 JavaScript 可用时，我们建议 将 CSRF token 包含在 HTTP 请求头中，以避免这一问题。

如果 JavaScript 不可用，下面将讨论在 servlet 应用程序的 body 和 url 中放置 CSRF token 的选项。

你可以在 Spring 参考文档的 Multipart Resolver 部分和 MultipartFilter javadoc 中找到更多关于在 Spring 中使用 multipart 表单的信息。

把 CSRF Token 放到 body 中

我们 已经讨论了 将 CSRF token 放在 body 中的利弊。在本节中，我们将讨论如何配置 Spring Security 以从 body 中读取 CSRF。

为了从 body 中读取 CSRF token，在 Spring Security filter 之前指定了 MultipartFilter。在 Spring Security filter 之前指定 MultipartFilter 意味着调用 MultipartFilter 没有授权，这意味着任何人都可以在服务器上放置临时文件。然而，只有经过授权的用户才能提交由应用程序处理的文件。一般来说，这是推荐的方法，因为临时文件上传对大多数服务器的影响可以忽略不计。

Configure MultipartFilter

  • Java
public class SecurityApplicationInitializer extends AbstractSecurityWebApplicationInitializer {

	@Override
	protected void beforeSpringSecurityFilterChain(ServletContext servletContext) {
		insertFilters(servletContext, new MultipartFilter());
	}
}

为了确保 MultipartFilter 在 Spring Security filter 之前通过 XML 配置指定，可以确保 MultipartFilter 的 <filter-mapping> 元素放在 web.xml 文件中的 springSecurityFilterChain 之前。

在 ULR 中包含 CSRF Token

如果不能接受让未经授权的用户上传临时文件，另一种方法是将 MultipartFilter 放在 Spring Security filter 之后，并将 CSRF 作为查询参数包含在表单的 action 属性中。由于 CsrfToken 是作为 名为 _csrf 的 HttpServletRequest 属性 公开的，因此我们可以使用它来创建一个包含 CSRF token 的 action 。下面的示例通过 JSP 实现了这一点：

CSRF Token in Action

<form method="post"
	action="./upload?${_csrf.parameterName}=${_csrf.token}"
	enctype="multipart/form-data">

5、HiddenHttpMethodFilter

在 Spring 的 Servlet 支持中，覆盖 HTTP 方法是通过使用 HiddenHttpMethodFilter 来实现的。

REST的一个关键原则是使用“统一接口”。这意味着可以使用相同的四个HTTP方法来操作所有资源（URL）：GET、PUT、POST和DELETE。对于每个方法，HTTP规范都定义了确切的语义。例如，GET应该始终是安全操作，这意味着它没有副作用，PUT或DELETE应该是幂等的，这意味着您可以反复重复这些操作，但最终结果应该相同。虽然HTTP定义了这四种方法，但HTML仅支持两种：GET和POST。幸运的是，有两种可能的解决方法：您可以使用JavaScript来执行PUT或DELETE，或者您可以使用“real”方法作为附加参数（建模为HTML表单中的隐藏输入字段）来执行POST。Spring的HiddenHttpMethodFilter使用了后一种技巧。该过滤器是一个普通的Servlet过滤器，因此，它可以与任何web框架（不仅仅是SpringMVC）结合使用。将此筛选器添加到web.xml中，具有隐藏方法参数的POST将转换为相应的HTTP方法请求。
为了支持HTTP方法转换，SpringMVC表单标记被更新为支持设置HTTP方法。例如，以下片段来自Pet Clinic示例：

<form:form method="delete">
	<p class="submit"><input type="submit" value="Delete Pet"/></p>
</form:form>

前面的示例执行HTTP POST，将“真实”DELETE方法隐藏在请求参数后面。它由HiddenHttpMethodFilter拾取，该过滤器在web.xml中定义，如下例所示：

<filter>
	<filter-name>httpMethodFilter</filter-name>
	<filter-class>org.springframework.web.filter.HiddenHttpMethodFilter</filter-class>
</filter>

<filter-mapping>
	<filter-name>httpMethodFilter</filter-name>
	<servlet-name>petclinic</servlet-name>
</filter-mapping>

下面的示例显示了相应的@Controller方法：

@RequestMapping(method = RequestMethod.DELETE)
public String deletePet(@PathVariable int ownerId, @PathVariable int petId) {
	this.clinic.deletePet(petId);
	return "redirect:/owners/" + ownerId;
}

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/105803.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

AMEYA360：炬玄智能车规级RTC芯片JXR191T为车载BMS提供16年稳态输出

AMEYA360：炬玄智能车规级RTC芯片JXR191T为车载BMS提供16年稳态输出

北京炬玄智能科技有限公司聚焦于集成电路时钟芯片研发及生产&#xff0c;以高精度、高稳定性、集成化芯片和系统设计为主要方向&#xff0c;以实时时钟芯片(RTC)及模组为切入点&#xff0c;逐步将产品拓展到以TCXO、OCXO为代表的高端晶振芯片领域&#xff0c;最终打通整个时钟产…
阅读更多...
探索现代IT岗位：职业机遇的海洋

探索现代IT岗位：职业机遇的海洋

目录 1 引言2 传统软件开发3 数据分析与人工智能4 网络与系统管理5 信息安全6 新兴技术领域 1 引言 随着现代科技的迅猛发展&#xff0c;信息技术&#xff08;IT&#xff09;行业已经成为了全球经济的关键引擎&#xff0c;改变了我们的生活方式、商业模式和社会互动方式。IT行…
阅读更多...
如何查看员工电脑操作记录

如何查看员工电脑操作记录

作为企业管理者&#xff0c;查看员工电脑操作记录可以帮助了解员工的工作情况和电脑使用情况&#xff0c;以便更好地进行管理。以下是一些查看员工电脑操作记录的方法&#xff1a; 一、电脑监控软件系统 这些软件系统可以实时监控员工电脑的操作情况&#xff0c;包括网页浏览、…
阅读更多...
Hover：借贷新势力崛起，在经验与创新中找寻平衡

Hover：借贷新势力崛起，在经验与创新中找寻平衡

复苏中的Cosmos 如果让我选择一个最我感到可惜的区块链项目&#xff0c;我会选择Cosmos。 Cosmos最早提出并推动万链互联的概念&#xff0c;希望打通不同链之间的孤岛&#xff0c;彼时和另一个天王项目Polkadot号称跨链双雄。其跨链技术允许不同的区块链网络互相通信&#xf…
阅读更多...
RPA厂商大比拼，哪家才更适合您？

RPA厂商大比拼，哪家才更适合您？

引言&#xff1a;随着数字化时代的到来&#xff0c;自动化已成为推动企业数字化发展的关键举措之一&#xff0c;RPA作为自动化中的重要技术之一&#xff0c;可为企业提供了实现业务流程自动化的强大工具。然而&#xff0c;如何选择适合自己的RPA厂商也是各大企业现在面临的难题…
阅读更多...
学习笔记---看完就会的单链表的应用～～

学习笔记---看完就会的单链表的应用～～

目录 1.单链表经典算法&#x1faf5; 1.1 单链表相关经典算法OJ题1&#xff1a;移除链表元素 1.2 单链表相关经典算法OJ题2&#xff1a;反转链表 1.3 单链表相关经典算法OJ题3&#xff1a;合并两个有序链表 1.4 单链表相关经典算法OJ题4&#xff1a;链表的中间结点 1.5 循…
阅读更多...
云音乐Android Cronet接入实践

云音乐Android Cronet接入实践

背景 网易云音乐产品线终端类型广泛&#xff0c;除了移动端&#xff08;IOS/安卓&#xff09;之外&#xff0c;还有PC、MAC、Iot多终端等等。移动端由于上线时间早&#xff0c;用户基数大&#xff0c;沉淀了一些端侧相对比较稳定的网络策略和网络基础能力。然而由于各端在基础…
阅读更多...
AFsim编译-Windows

AFsim编译-Windows

AFsim软件的核心应用及服务包括&#xff1a; sensor_plot&#xff1a;传感器覆盖和天线增益绘制工具&#xff1b; engage&#xff1a;武器交战分析工具&#xff1b; weapon_tools&#xff1a;武器建模工具&#xff1b; mission&#xff1a;任务仿真工具&#xff1b; post_…
阅读更多...
3DCAT+东风日产：共建线上个性化订车实时云渲染方案

3DCAT+东风日产：共建线上个性化订车实时云渲染方案

近年来&#xff0c;随着5G网络和云计算技术的不断发展&#xff0c;交互式3D实时云看车正在成为一种新的看车方式。 与传统的到4S店实地考察不同&#xff0c;消费者可以足不出户&#xff0c;通过网络与终端设备即可实现全方位展示、自选汽车配色、模拟效果、快捷选车并进行个性…
阅读更多...
自动驾驶之—LaneAF学习相关总结

自动驾驶之—LaneAF学习相关总结

0.前言&#xff1a; 最近在学习自动驾驶方向的东西&#xff0c;简单整理一些学习笔记&#xff0c;学习过程中发现宝藏up 手写AI 1. 概述 Laneaf思想是把后处理放在模型里面。重点在于理解vaf&#xff0c; haf&#xff0c;就是横向聚类&#xff1a;中心点&#xff0c;纵向聚类&…
阅读更多...
酷开科技依托酷开系统推动家庭智能化加速发展

酷开科技依托酷开系统推动家庭智能化加速发展

为什么越来越多的人会选择智能家居&#xff1f;因为智能家居的出现&#xff0c;大大方便了我们的生活&#xff0c;为生活提供便利舒适的体验&#xff1b;就如同洗衣机与洗碗机解放了我们的双手是一样的道理&#xff0c;智能家居是在生活的方方面面为我们提供更加便利化的可能性…
阅读更多...
基于Java的民宿酒店预约推广系统设计与实现(源码+lw+部署文档+讲解等)

基于Java的民宿酒店预约推广系统设计与实现(源码+lw+部署文档+讲解等)

文章目录 前言具体实现截图论文参考详细视频演示为什么选择我自己的网站自己的小程序&#xff08;小蔡coding&#xff09; 代码参考数据库参考源码获取 前言 &#x1f497;博主介绍&#xff1a;✌全网粉丝10W,CSDN特邀作者、博客专家、CSDN新星计划导师、全栈领域优质创作者&am…
阅读更多...
简单的谈谈VPN是什么、类型、使用场景以及工作原理？

简单的谈谈VPN是什么、类型、使用场景以及工作原理？

作者&#xff1a;久孤776 个人主页&#xff1a;久孤776_python-CSDN博客 作者会持续更新网络知识以及关于python的知识期待你的关注 目录 一、vpn是什么 二、vpn的类型 1. 远程访问VPN 2. 点对点VPN 3. 入口站点VPN 4. 专线VPN 5. 客户端对站点VPN 三、VPN的使用场景 1…
阅读更多...
GMT中标注特殊字符：平方，%，±号，希腊字母

GMT中标注特殊字符：平方，%，±号，希腊字母

在gmt中文社区的官网&#xff0c;我们可以得到以下的特殊字符表&#xff0c;通过在cmd命令窗口输入以下命令 gmt get PS_CHAR_ENCODING 查到你所安装的GMT的默认字符编码方式。如下图所示&#xff0c;本人是默认的ISOLation1 编码。 下面是一些具体的特殊字符的代码与标注效果…
阅读更多...
【概率论教程01】对贝叶斯定理的追忆

【概率论教程01】对贝叶斯定理的追忆

一、说明 贝叶斯定理&#xff0c;是一个需要反复体悟的道理&#xff0c;不是说公式解释清除就算Grasp&#xff0c;而是需要反复在实际项目中发挥&#xff0c;才能算掌握了。而实际应用中&#xff0c;并不是简单给出条件就可以套用&#xff0c;而是隐藏在迷雾一样的事实中&#…
阅读更多...
2016年亚太杯APMCM数学建模大赛B题化学元素对变形钢筋性能的影响求解全过程文档及程序

2016年亚太杯APMCM数学建模大赛B题化学元素对变形钢筋性能的影响求解全过程文档及程序

2016年亚太杯APMCM数学建模大赛 B题 化学元素对变形钢筋性能的影响 原题再现 热轧带肋钢筋通常被称为变形钢筋&#xff0c;它主要用于钢筋混凝土构件的骨架&#xff0c;在使用中需要一定的机械强度、弯曲和变形性能、制造焊接性。钢中的化学成分是影响热轧钢最终组织性能的基…
阅读更多...
Java实现人脸识别和指纹认证

Java实现人脸识别和指纹认证

我们在开发中经常会有人脸识别的需求&#xff0c;今天就实现一个简单的人脸识别&#xff0c;调用的第三方SDK服务 0.先去注册服务 登录网址 虹软视觉开放平台—以免费人脸识别技术为核心的人脸识别算法开放平台 点击进行注册 进入之后新增我的服务 成功之后点击首页人脸识别…
阅读更多...
『第四章』一见倾心：初识小雨燕（上）

『第四章』一见倾心：初识小雨燕（上）

在本篇博文中,您将学到如下内容: 1. 基本数据类型2. 基本操作符3. 枚举和结构4. 类和 Actor5. 属性、方法与访问控制6. 聚集总结夜月一帘幽梦，春风十里柔情。 无声交谈情意深，一见心曲绕梁成。 1. 基本数据类型 无论是 macOS 还是 iOS 上的开发，Swift 基础类型和功能都内置于…
阅读更多...
Python+Requests+PyTest+Excel+Allure 接口自动化测试实战

Python+Requests+PyTest+Excel+Allure 接口自动化测试实战

目录 本文主要介绍了PythonRequessPyTestExcelAllure 接口自动化测试实战&#xff0c;文中通过示例代码介绍的非常详细&#xff0c;对大家的学习或者工作具有一定的参考学习价值&#xff0c;需要的朋友们下面随着小编来一起学习学习吧 Unittest是Python标准库中自带的单元测试…
阅读更多...
​ iOS自动混淆测试处理笔记

​ iOS自动混淆测试处理笔记

1 打开 ipa&#xff0c;导出ipa 路径和配置文件路径会自动填充 ​ 2 点击 开始自动混淆测试处理 自动混淆测试是针对 oc 类和oc方法这两个模块进行自动混淆ipa&#xff0c;并ipa安装到设备中运行&#xff0c;通过检测运行ipa包是否崩溃&#xff0c;来对oc类和oc方法进行筛选。…
阅读更多...
最新文章

Copyright @ 2022~2023