spring security CSRF防护的示例代码
更新时间：2019年03月08日 14:28:08 作者：yjclsx
这篇文章主要介绍了spring security CSRF防护的示例代码,小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
CSRF是指跨站请求伪造（Cross-site request forgery），是web常见的攻击之一。
从Spring Security 4.0开始，默认情况下会启用CSRF保护，以防止CSRF攻击应用程序，Spring Security CSRF会针对PATCH，POST，PUT和DELETE方法进行防护。
我这边是spring boot项目，在启用了@EnableWebSecurity注解后，csrf保护就自动生效了。
所以在默认配置下，即便已经登录了，页面中发起PATCH，POST，PUT和DELETE请求依然会被拒绝，并返回403，需要在请求接口的时候加入csrfToken才行。
如果你使用了freemarker之类的模板引擎或者jsp，针对表单提交，可以在表单中增加如下隐藏域：
<input type = “hidden” name = “${_csrf.parameterName}” value = “${_csrf.token}” />
如果您使用的是JSON，则无法在HTTP参数中提交CSRF令牌。相反，您可以在HTTP头中提交令牌。一个典型的模式是将CSRF令牌包含在元标记中。下面显示了一个JSP示例：
<html>
<head>
<meta name = “_csrf” content = “${_csrf.token}” />
<!-- 默认标题名称是X-CSRF-TOKEN -->
<meta name = “_csrf_header” content = “${_csrf.headerName}” />
</ head>
然后，您可以将令牌包含在所有Ajax请求中。如果您使用jQuery，可以使用以下方法完成此操作：
var token = $("meta[name='_csrf']").attr("content");
var header = $("meta[name='_csrf_header']").attr("content");
$.ajax({
url:url,
type:'POST',
async:false,
dataType:'json', //返回的数据格式：json/xml/html/script/jsonp/text
beforeSend: function(xhr) {
xhr.setRequestHeader(header, token); //发送请求前将csrfToken设置到请求头中
},
success:function(data,textStatus,jqXHR){
}
});
如果你不想启用CSRF保护，可以在spring security配置中取消csrf，如下：
@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers("/login").permitAll()
.anyRequest().authenticated()
.and()
...
http.csrf().disable(); //取消csrf防护
}
}
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持脚本之家。
相关文章
这篇文章主要为大家详细介绍了java计算工作时间除去节假日以及双休日的方法，具有一定的参考价值，感兴趣的小伙伴们可以参考一下2018-06-06
本文通过实例代码给大家介绍了mybatis传输list的实现代码，非常不错，具有参考借鉴价值，需要的朋友参考下吧2017-09-09
这篇文章主要为大家详细介绍了java关闭流连接IO工具类，具有一定的参考价值，感兴趣的小伙伴们可以参考一下2018-03-03
SpringBoot-JWT生成Token和拦截器的使用(访问受限资源)
本文主要介绍了SpringBoot-JWT生成Token和拦截器的使用(访问受限资源)，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2022-05-05
这篇文章主要介绍了Java编程几个循环实例代码分享，多看多练，小编觉得还是挺不错的，这里分享给大家，供需要的朋友参考。2017-10-10
这篇文章主要为大家详细介绍了Java transient关键字的使用方法，感兴趣的小伙伴们可以参考一下2016-06-06
SpringBoot2.6.x升级后循环依赖及Swagger无法使用问题
这篇文章主要为大家介绍了SpringBoot2.6.x升级后循环依赖及Swagger无法使用问题，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪2022-06-06
这篇文章主要介绍了Java8-LocalDateTime极简时间日期操作整理,通过实例代码给大家介绍了java8 LocalDateTime 格式化问题，需要的朋友可以参考下2020-04-04
深入理解Java并发编程之LinkedBlockingQueue队列
本文主要介绍了Java并发编程之LinkedBlockingQueue队列，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧2022-04-04
本文将探讨如何在Java中有效地应对这些挑战,介绍一种强大的工具并发Map,它能够帮助您管理多线程环境下的共享数据,确保数据的一致性和高性能,深入了解Java中的并发Map实现,包括ConcurrentHashMap和ConcurrentSkipListMap,及相关知识点2023-09-09
最新评论