Dịch vụ nghỉ ngơi mùa xuân - Mã thông báo CSRF không hợp lệ khi tôi cố đăng nhập

Question

Tôi có dịch vụ REST MVC Spring, với Spring Security (3.2.5.RELEASE) được bật. Khi tôi bật @EnableWebMvcSecurity, biểu mẫu đăng nhập được tự động tạo cho tôi theo số http://localhost:8080/login. Nếu tôi sử dụng biểu mẫu này để đăng nhập, mọi thứ sẽ hoạt động tốt.

Sự cố xảy ra khi tôi cố đăng nhập bằng cách gửi yêu cầu POST trực tiếp. Trong yêu cầu đăng bài của tôi, tôi cung cấp tên người dùng và mật khẩu. Tôi cũng bao gồm tiêu đề http 'X-CSRF-TOKEN' và cho giá trị tiêu đề, tôi sử dụng JSESSIONID mà tôi thấy đã được tạo trong cookie. Nhưng khi tôi gửi yêu cầu POST này, tôi nhận lại kết quả sau:

HTTP Status 403 - Invalid CSRF Token '29F5E49EFE8D758D4903C0491D56433E' 
was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'. 

Tôi đang làm gì sai? Tôi có cung cấp giá trị mã thông báo sai không? JSESSIONID này là gì? Nếu tôi không nhập giá trị cho tiêu đề này hoặc bỏ qua tiêu đề tất cả cùng nhau, nó sẽ cho tôi biết "Đã tìm thấy mã thông báo CSRF Null".

Dưới đây là cấu hình Spring an tôi:

@Configuration 
@EnableWebMvcSecurity 
public class SecurityConfig extends WebSecurityConfigurerAdapter { 

    @Autowired 
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception { 
     auth.inMemoryAuthentication() 
      .withUser("user").password("password").roles("USER"); 
    } 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
      .authorizeRequests() 
       .antMatchers("/secure/**").authenticated() 
       .and() 
      .formLogin() 
       .usernameParameter("username") 
       .passwordParameter("password")   
       .and() 
      .logout() 
       .and() 
      .httpBasic() 
       .and() 
      .csrf(); 
    } 
} 

Tôi thực sự muốn đánh giá cao bất kỳ sự giúp đỡ! Cảm ơn trước!

Answer 1

Bạn cần gửi mã thông báo csrf khi bạn gửi biểu mẫu đăng nhập. Hãy thêm dòng dưới đây dưới dạng HTML:

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/> 

Answer 2

bạn cần <meta name="_csrf" content="${_csrf.token}"/>, https://spring.io/blog/2013/08/21/spring-security-3-2-0-rc1-highlights-csrf-protection/#ajax-requests

hoặc nếu bạn đang sử dụng thymeleaf <meta name="_csrf" th:content="${_csrf.token}" />

Answer 3

(1) Bao gồm CSRF token trong tất cả AJAX của bạn yêu cầu.

$(function() { 
    var token = $('#logoutform>input').val(); 
    var header = $('#logoutform>input').attr('name'); 
    $(document).ajaxSend(function(e, xhr, options) { 
     xhr.setRequestHeader('X-CSRF-TOKEN', token); 
    }); 
}); 

(2) yêu cầu đơn giản.

<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>