Spring Security, 'X-CSRF-TOKEN' göndermek için nasıl yapılandırılır?

Question

Sorun, Spring Security ve Angular arasında çalışan CSRF tokenlerini elde etmektir.

Spring Security CSRF Token Interceptor for Angular

işi yapmak gereken bir şey gibi görünüyor, ama hayır 'X-CSRF-TOKEN' sunucudan BAŞ yanıt yoktur.

Güncel küçük uygulamam GitHub (Tag v.1.0) adresinde bulunmaktadır ve konuyu bilen biri kodu hızlı bir şekilde görebilseydi çok da çok memnun olurum. Sorunun anlaşılması kolay olmalı.

belgelere dayanarak, CSRF otomatik olarak etkin olması gerekirdi izlenimi altında değilim, ama bu durum görünmemektedir.

Spring Boot'ı kullanıyorum ve bir şeyin farklı şekilde yapılandırılması gerekirse, ek açıklama tabanlı yapılandırmayı XML üzerinden tercih ediyorum.

Spring Security, Angular'a karşı iş yapmak için başka herhangi bir yaklaşım mı? "XSRF-TOKEN" İnanıyorum adında bir çerez, böylece müşteri için en kolay şey için

Answer 1

Açısal görünümün onun göndermektir. Sen (https://github.com/spring-guides/tut-spring-security-and-angular-js/blob/master/single/src/main/java/demo/UiApplication.java#L65 örneğin) bir Filter örneğin bunu yapabilirsiniz:

private Filter csrfHeaderFilter() { 
     return new OncePerRequestFilter() { 
      @Override 
      protected void doFilterInternal(HttpServletRequest request, 
        HttpServletResponse response, FilterChain filterChain) 
        throws ServletException, IOException { 
       CsrfToken csrf = (CsrfToken) request.getAttribute(CsrfToken.class 
         .getName()); 
       if (csrf != null) { 
        Cookie cookie = new Cookie("XSRF-TOKEN", csrf.getToken()); 
        cookie.setPath("/"); 
        response.addCookie(cookie); 
       } 
       filterChain.doFilter(request, response); 
      } 
     }; 
    } 

Güncelleme: çerez csrf depo kullanırsanız açısal için doğru çerez adı varsayılan olarak kullanılır 4.2 yay güvenliği beri (link hala En iyi kaynak), yani artık özel bir filtreye ihtiyaç yoktur. Örnek: Issue #1: Orijinal GitHub deposundaki gizli kimse yoktu olarak

@Configuration 
@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER) 
protected static class SecurityConfiguration extends WebSecurityConfigurerAdapter { 
    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
       ... 
       .and() 
      .csrf() 
       .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()); 

Answer 2

Ben soruyu kendime cevap veriyorum. Bu çözüm, CSRF parametrelerini Http mesaj başlıkları olarak ekleyen birkaç Java kodu satırı eklemekti.

Ben Etiketi v.2.0 ile GitHub'dan repo için bir çalışma çözüm ekledi.