spring security的CSRF功能

最新推荐文章于 2024-09-04 12:38:36 发布

黄宝康

最新推荐文章于 2024-09-04 12:38:36 发布

阅读量1.2k

点赞数

分类专栏：漏洞、安全、’工具文章标签： spring security CSRF

本文链接：https://blog.csdn.net/huangbaokang/article/details/110800666

版权

漏洞、安全、’工具专栏收录该内容

14 篇文章 1 订阅

订阅专栏

默认是开启了spring security 的CSRF功能，如果我们没有配置禁用，Spring Security CSRF 会针对 PATCH，POST，PUT 和 DELETE 方法进行防护。
对如下的请求是不防护的
在这里插入图片描述

可以看到，从request中获取token,所以我们在页面中进行传递，我们可以使用thymeleaf模板引擎

 <!--引入thymethef模板引擎-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>

在登录页中增加隐藏域，携带_csrf进行提交

<!DOCTYPE html xmlns:th="http://www.thymeleaf.org/">
<html lang="en" >
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<form action="/test/login"method="post">
    <input type="hidden" th:if="${_csrf}!=null" th:value="${_csrf.token}" name="_csrf"/>
    用户名:<input type="text"name="username"/><br/>
    密码：<input type="password"name="password"/><br/>
    <input type="checkbox" name="remember-me"/>记住我
    <input type="submit"value="提交"/>
</form>
</body>
</html>