Mã thông báo csrf khác nhau theo yêu cầu trong Bảo mật mùa xuân

Question

Tôi đang sử dụng thẻ <csrf/> trong tệp xml bảo mật mùa xuân của mình cho một dự án web. Và gửi mã thông báo csrf dưới dạng:

<form action="" method="post"> 
<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/> 
</form> 

Nhưng khi chặn yêu cầu thông qua BurpSuite, tôi nhận được cùng một mã thông báo csrf cho mọi yêu cầu cho đến khi phiên tồn tại.

Có cách nào tôi có thể gửi mã thông báo csrf khác nhau cho mỗi yêu cầu so với mỗi phiên trong bảo mật mùa xuân hay không.

Tôi đang sử dụng 3.2.4 lọ bảo mật mùa xuân.

Answer 1

Thời lượng mặc định của mã thông báo CSRF là thời lượng phiên. Mã thông báo CSRF được lưu trữ trong phiên HTTP và do đó được tạo trên cơ sở mỗi phiên. Kiểm tra Spring Security documentation on CSRF để biết thêm chi tiết.

Bảo mật mùa xuân có thể được mở rộng để phù hợp với nhu cầu cá nhân, vì vậy nó có thể được mở rộng cho mục đích của bạn.

Nhưng, điều này ảnh hưởng mở rộng khả năng sử dụng:

1. Mở ứng dụng web trong tab thứ hai sẽ gây vỡ phiên trong một hoặc cả hai tab.
2. Nút 'quay lại' trên biểu mẫu đã gửi có thể gây ra một số lỗi lạ.