springboot + security 自定义csrf校验结果

最新推荐文章于 2024-01-25 15:05:32 发布

原创

最新推荐文章于 2024-01-25 15:05:32 发布 · 6k 阅读

2 ·

CC 4.0 BY-SA版权

本文探讨了SpringBoot结合Security进行CSRF验证时的默认行为，包括从session中加载和比较CsrfToken的过程。默认情况下，GET、HEAD、TRACE、OPTIONS请求不受CSRF保护，而POST请求需要携带X-CSRF-TOKEN或请求参数。当CSRF校验失败时，系统会使用AccessDeniedHandlerImpl。为了实现不同的错误处理，比如在CSRF验证失败且非登录请求时注销用户，可以自定义accessDeniedHandler。文章还提供了配置示例，并链接了一篇关于CSRF的讨论文章。

查看csrfFilter源码，会先去HttpSessionCsrfTokenRepository.loadToken加载CsrfToken ，其实就是从session中获取。

public CsrfToken loadToken(HttpServletRequest request) {
        HttpSession session = request.getSession(false);
        if (session == null) {
            return null;
        }
        return (CsrfToken) session.getAttribute(this.sessionAttributeName);
    }

如果不存在，会创建一个CsrfToken 并放入session

public void saveToken(CsrfToken token, HttpServletRequest request,
            HttpServletResponse response) {
        if (token == null) {
            HttpSession session = request.getSession(false);
            if (session != null) {
                session.removeAttribute(this</