使用Spring Security和Thymeleaf进行CSRF保护

我会带着你远行 2023-09-25 12:44 60阅读 0赞

### **1. 简介** ###

[Thymeleaf][]是一个Java模板引擎，用于处理和创建HTML，XML，JavaScript，CSS和纯文本。有关Thymeleaf和Spring的介绍，请查看[这篇文章][Link 1]。

在本文中，我们将讨论如何使用Thymeleaf应用程序在Spring MVC中**防止跨站点请求伪造（CSRF）攻击**。更具体地说，我们将测试HTTP POST方法的CSRF攻击。

CSRF 是一种攻击，它强制最终用户在当前经过身份验证的 Web 应用程序中执行不需要的操作。

### **2. Maven 依赖项** ###

首先，让我们看看将Thymeleaf与Spring集成所需的配置。在我们的依赖项中需要*百里香板弹簧*库：

<dependency>
        <groupId>org.thymeleaf</groupId>
        <artifactId>thymeleaf</artifactId>
        <version>3.0.11.RELEASE</version>
    </dependency>
    <dependency>
        <groupId>org.thymeleaf</groupId>
        <artifactId>thymeleaf-spring5</artifactId>
        <version>3.0.11.RELEASE</version>
    </dependency>Copy

请注意，对于 Spring 4 项目，必须使用*thymeleaf-spring4*库而不是*thymeleaf-spring5*。可以[在此处][Link 2]找到最新版本的依赖项。

此外，为了使用 Spring 安全性，我们需要添加以下依赖项：

<dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-web</artifactId>
        <version>5.7.3</version>
    </dependency>
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-config</artifactId>
        <version>5.7.3</version>
    </dependency>
    Copy

两个与 Spring 安全性相关的库的最新版本可[在此处][Link 3]和[此处][Link 4]获得。

### **3. 爪哇配置** ###

除了[这里][Link 1]介绍的 Thymeleaf 配置之外，我们还需要为 Spring Security 添加配置。为此，我们需要创建类：

@Configuration
    @EnableWebSecurity
    @EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
    public class WebMVCSecurity extends WebSecurityConfigurerAdapter {
    
        @Bean
        @Override
        public AuthenticationManager authenticationManagerBean() throws Exception {
            return super.authenticationManagerBean();
        }
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.inMemoryAuthentication()
              .withUser("user1").password("{noop}user1Pass")
              .authorities("ROLE_USER");
        }
    
        @Override
        public void configure(WebSecurity web) throws Exception {
            web.ignoring().antMatchers("/resources/**");
        }
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
              .authorizeRequests()
              .anyRequest()
              .authenticated()
              .and()
              .httpBasic();
        }
    }Copy

有关安全配置的更多详细信息和说明，请参阅[Spring 安全][Spring]系列。

**缺省情况下，CSRF 保护在 Java 配置中启用。**为了禁用这个有用的功能，我们需要在*configure（...*方法：

.csrf().disable()Copy

在XML配置中，我们需要手动指定CSRF保护，否则，它将不起作用：

<security:http 
      auto-config="true"
      disable-url-rewriting="true" 
      use-expressions="true">
        <security:csrf />
         
        
    </security:http>Copy

另请注意，如果我们使用带有登录表单的登录页面，我们需要始终在登录表单中手动包含 CSRF 令牌作为隐藏参数包含在代码中：

<input 
      type="hidden" 
      th:name="${_csrf.parameterName}" 
      th:value="${_csrf.token}" />Copy

对于其余表单，CSRF 令牌将自动添加到具有隐藏输入的表单中：

<input 
      type="hidden" 
      name="_csrf"
      value="32e9ae18-76b9-4330-a8b6-08721283d048" /> 
    Copy

### **4. 视图配置** ###

让我们继续讨论 HTML 文件的主要部分，包括表单操作和测试过程创建。在第一个视图中，我们尝试将新学生添加到列表中：

<!DOCTYPE html>
    <html xmlns="http://www.w3.org/1999/xhtml"
    	xmlns:th="http://www.thymeleaf.org">
    <head>
    <title>Add Student</title>
    </head>
    <body>
        <h1>Add Student</h1>
            <form action="#" th:action="@{/saveStudent}" th:object="${student}"
              method="post">
                <ul>
                    <li th:errors="*{id}" />
                    <li th:errors="*{name}" />
                    <li th:errors="*{gender}" />
                    <li th:errors="*{percentage}" />
                </ul>
        
        </form>
    </body>
    </html>Copy

在此视图中，我们通过提供*ID*、*姓名*、*性别*和*百分比*（可选，如表单验证中所述）将学生添加到列表中。在执行此表单之前，我们需要提供*用户*和*密码*，以便在 Web 应用程序中对我们进行身份验证。

#### **4.1. 浏览器 CSRF 攻击测试** ####

现在我们进入第二个 HTML 视图。其目的是尝试进行CSRF攻击：

<!DOCTYPE html>
    <html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=UTF-8"/>
    </head>
    <body>
    <form action="http://localhost:8080/spring-thymeleaf/saveStudent" method="post">
        <input type="hidden" name="payload" value="CSRF attack!"/>
        <input type="submit" />
    </form>
    </body>
    </html>Copy

我们知道操作 URL*http://localhost:8080/spring-thymeleaf/saveStudent*。黑客想要访问此页面以执行攻击。

为了进行测试，请在另一个浏览器中打开HTML文件，而无需登录应用程序。当您尝试提交表格时，我们将收到以下页面：

![5b6dec9a335e421c98bf7bc8d4f6eea7.webp][]

我们的请求被拒绝，因为我们发送的请求没有 CSRF 令牌。

请注意，HTTP会话用于存储CSRF令牌。发送请求时，Spring 会将生成的令牌与存储在会话中的令牌进行比较，以确认用户没有被黑客入侵。

#### **4.2. JUnit CSRF 攻击测试** ####

如果您不想使用浏览器测试 CSRF 攻击，也可以通过快速集成测试来完成;让我们从该测试的 Spring 配置开始：

@RunWith(SpringJUnit4ClassRunner.class)
    @WebAppConfiguration
    @ContextConfiguration(classes = { 
      WebApp.class, WebMVCConfig.class, WebMVCSecurity.class, InitSecurity.class })
    public class CsrfEnabledIntegrationTest {
    
        // configuration
    
    }Copy

并继续进行实际测试：

@Test
    public void addStudentWithoutCSRF() throws Exception {
        mockMvc.perform(post("/saveStudent").contentType(MediaType.APPLICATION_JSON)
          .param("id", "1234567").param("name", "Joe").param("gender", "M")
          .with(testUser())).andExpect(status().isForbidden());
    }
    
    @Test
    public void addStudentWithCSRF() throws Exception {
        mockMvc.perform(post("/saveStudent").contentType(MediaType.APPLICATION_JSON)
          .param("id", "1234567").param("name", "Joe").param("gender", "M")
          .with(testUser()).with(csrf())).andExpect(status().isOk());
    }Copy

由于缺少CSRF令牌，第一个测试将导致禁止状态，而第二个测试将正确执行。

### **5. 结论** ###

在本文中，我们讨论了如何使用Spring Security和Thymeleaf框架防止CSRF攻击。

本教程的完整实现可以在[GitHub 项目][GitHub]中找到。

[Thymeleaf]: http://www.thymeleaf.org/
[Link 1]: https://www.baeldung.com/thymeleaf-in-spring-mvc
[Link 2]: https://search.maven.org/classic/#search%7Cgav%7C1%7Cg%3A%22org.thymeleaf%22%20AND%20a%3A%22thymeleaf-spring5%22
[Link 3]: https://search.maven.org/classic/#search%7Cgav%7C1%7Ca%3A%22spring-security-web%22
[Link 4]: https://search.maven.org/classic/#search%7Cgav%7C1%7Ca%3A%22spring-security-config%22
[Spring]: https://www.baeldung.com/security-spring
[5b6dec9a335e421c98bf7bc8d4f6eea7.webp]: https://img-blog.csdnimg.cn/5b6dec9a335e421c98bf7bc8d4f6eea7.webp
[GitHub]: https://github.com/eugenp/tutorials/tree/master/spring-web-modules/spring-thymeleaf-4