spring security的CSRF功能

你的名字 2022-12-27 01:47 138阅读 0赞

默认是开启了spring security 的CSRF功能，如果我们没有配置禁用，Spring Security CSRF 会针对 PATCH，POST，PUT 和 DELETE 方法进行防护。  
对如下的请求是不防护的  
![在这里插入图片描述][20201207111642828.png]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70]  
可以看到，从request中获取token,所以我们在页面中进行传递，我们可以使用thymeleaf模板引擎

<dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-thymeleaf</artifactId>
            </dependency>

在登录页中增加隐藏域，携带\_csrf进行提交

<!DOCTYPE html xmlns:th="http://www.thymeleaf.org/">
    <html lang="en" >
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
    <form action="/test/login"method="post">
        <input type="hidden" th:if="${_csrf}!=null" th:value="${_csrf.token}" name="_csrf"/>
        用户名:<input type="text"name="username"/><br/>
        密码：<input type="password"name="password"/><br/>
        <input type="checkbox" name="remember-me"/>记住我
        <input type="submit"value="提交"/>
    </form>
    </body>
    </html>

也可以如下 `<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>`

如果name不是remember-me，也可以进行设置，这个是上一讲的内容了  
![在这里插入图片描述][20201207155411980.png]  
我们如果没禁用csrf(默认开启)，在表单上加上那段隐藏域代码就可以测试了。

注意点，如果开启了csrf功能，则登出功能需要使用表单post提交，而不能是之前的超链接。  
![在这里插入图片描述][20201207160653320.png]

[20201207111642828.png]: /images/20221120/cc1f262ea3d142b0ab127d94c18e064e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2h1YW5nYmFva2FuZw_size_16_color_FFFFFF_t_70]: /images/20221120/2a2060e8b0be410ab84323ae782e94cd.png
[20201207155411980.png]: https://img-blog.csdnimg.cn/20201207155411980.png
[20201207160653320.png]: https://img-blog.csdnimg.cn/20201207160653320.png