Spring Security默认就已经开启CSRF防御。
什么是CSRF
CSRF 是浏览器跨站伪造请求,黑客可以诱导用户执行一些用户意想不到行为,它允许攻击者部分绕开 同源策略
。
例如,当用户登录系统A后,用户可以修改自己的邮箱,然后浏览器提交请求如下
POST /email/change HTTP/1.1
Host: vulnerable-website.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 30
Cookie: session=yvthwsztyeQkAPzeQ5gHgTvlyxHfsAfE
email=wiener@normal-user.com
然后,此时黑客构造自己的web网站,并构造一个表单。
<form action="http://www.test.com/dfasd/email/change" method="post" id="myForm">
<input type="hidden" value="test