Jenkins关闭跨站请求伪造保护（CSRF）配置

最新推荐文章于 2024-03-18 16:05:03 发布
最新推荐文章于 2024-03-18 16:05:03 发布
阅读量889 收藏
点赞数 1
分类专栏： 运维 文章标签： jenkins csrf 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41905051/article/details/131245007
版权

概述：

        今天在调用jenkins接口构建项目的时候，发现一直报403错误，报错信息：Error 403 No valid crumb was included in the request ，去jenkins官网搜索一番，发现是jenkins未关闭csrf认证导致的，在Configure Global Security配置中：关闭Crumb保存之后发现还是报同样的错误，后来发现Jenkins版本自2.2xx版本之后，csrf认证在web界面里已经没法关闭了（关闭也不生效）：

官网解释：[JENKINS-61375] Cannot disable CSRF - Jenkins Jira

未关闭前：

完整报错信息：

[2023-06-16 11:24:28][ERROR][jenkins_api.py:86:start_job_build]：执行jenkins_job构建出现异常，异常原因：Error in request. Possibly authentication failed [403]: Forbidden
<html>
<head>
<meta http-equiv="Content-Type" content="text/html;charset=ISO-8859-1"/>
<title>Error 403 No valid crumb was included in the request</title>
</head>
<body><h2>HTTP ERROR 403 No valid crumb was included in the request</h2>
<table>
<tr><th>URI:</th><td>/job/haomo-lucas-web-test/buildWithParameters</td></tr>
<tr><th>STATUS:</th><td>403</td></tr>
<tr><th>MESSAGE:</th><td>No valid crumb was included in the request</td></tr>
<tr><th>SERVLET:</th><td>Stapler</td></tr>
</table>
<hr/><a href="https://eclipse.org/jetty">Powered by Jetty:// 10.0.13</a><hr/>

</body>
</html>

解决方案：

在jenkins的启动配置中添加参数：

-Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true

（1）使用容器运行的Jenkins

(1)进入容器，找到/usr/local/bin/jenkins.sh
(2)在该文件中的:
exec java -Duser.home="$JENKINS_HOME" ${FUTURE_OPTS} "${java_opts_array[@]}" -jar ${JENKINS_WAR} "${jenkins_opts_array[@]}" "$@"  一行中，

增加:
-Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true


[root@ops_test ~]# docker exec -it jenkins-master /bin/bash
jenkins@d1fffdb3323:/$
jenkins@d1fffdb3323:/$ vi /usr/local/bin/jenkins.sh
#修改后内容如下：
......
exec java -Duser.home="$JENKINS_HOME" -Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true ${FUTURE_OPTS} "${java_opts_array[@]}" -jar ${JENKINS_WAR} "${jenkins_opts_array[@]}" "$@"

(3)配置完成后重启Jenkins容器

（2） 使用war包运行的Jenkins

直接在启动脚本里面添加
-Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true 参数

export JENKINS_HOME=/mnt/jenkins_home
nohup java -Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true -jar jenkins.war > /dev/null 2>&1 &

配置完成后，重新启动Jenkins

关闭后，再次查看配置，关闭成功后如下图所示：

 

心软且酷丶
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Maven安装配置+GIt&SVN+Jenkins详细配置
01-27
持续集成的重要性：在日益复杂的开发设计过程中，为了能让开发人员能够更好的协同工作，保证产品的质量，就需要经常集成他们的工作，而每次集成使用自动构建工具来完成，这样，就能最快的发现产品中出现的错误，使得开发出高内聚的产品。Jenkins就是这样一款开源持续集成的软件，它支持Maven,ant等自动构建工具，Git和SVN这样的版本控制工具，实现集成的自动化，每一个步骤的自动化可以让开发人员从构建和版本控制中解脱出来，能更好的关注于产品的逻辑层面。这里主要讲解Maven的安装配置和自动构建项目，GIT和SVN对项目的提交，还有如何在Jenkins中配置这两种工具。Jenkins能实施监控集成中存
Jenkins安装与配置
02-02
在最简单的情况下，Jenkins只需要两个步骤：1.下载最新的版本（一个WAR文件）。Jenkins官方网址:http://Jenkins-ci.org/2.运行java-jarjenkins.war注意：Jenkins需要运行Java5以及以上的版本。还有一种安装方式就是将下载的war包文件部署到servlet容器，然后启动容器，在浏览器的URL地址栏中输入类似http://localhost:8080/jenkins/这样的地址即可。下图是安装成功后的界面（使用的是Linux+Tomcat6+Java6环境）：图2Jenkins主界面写在配置前的一些话：Jenkins的配置不可能全部都说到
Jenkins Windows关闭跨站请求伪造保护（CSRF）
最新发布
丿灬安之若死
03-18 741
添加后启动jenkins服务 并且访问/restart路径重启 jenkins。我们找到了这个jenkins路径 进入路径修改jenkins.xml文件。修改里面arguments添加这内容。成功后这里就是这样的显示。
jenkins集成配置教程
05-07
1，configure system 2，Configure Global Security 3，credentials 4，global tool configuration 5，node节点 6,配置 7，其他 （1）config system配置 （2）configure global security （3）credentials （4）global tool configoration （5）plugin （6）manage node （7）配置对应的JOB信息 8，问题
Jenkins的安装配置详解
08-27
主要介绍了Jenkins的安装配置详解,小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
Jenkins关闭跨站请求伪造保护（CSRF）保护
michael's blog
03-24 4620
Jenkins关闭跨站请求伪造保护（CSRF）保护
高版本 jenkins 关闭跨站请求伪造保护（CSRF）
constant_rain的博客
01-12 2442
背景 根据官网描述，Jenkins版本自2.204.6以来的重大变更有：删除禁用 CSRF 保护的功能。 从较旧版本的 Jenkins 升级的实例将启用 CSRF 保护和设置默认的发行者，如果之前被禁用。 方案 老版本Jenkins的CSRF保护功能只需要在 系统管理 > 全局安全配置 中便可进行打开或者关闭。让人头疼的是较高版本的Jenkins竟然在管理页面关闭不了CSRF 在Jenkins启动前加入相关取消保护的参数配置后启动Jenkins，即可关闭CSRF， 配置内容如下： -Dhudson.s
Jenkins关闭跨站请求伪造保护（CSRF）
Jin_Amy的博客
01-17 3942
一、简介 Jenkins版本自2.204.6以来的重大变更有：删除禁用 CSRF 保护的功能。在高版本的Jenkins中默认启用CSRF。 在内网进行持续集成（CI）时，若未增加相关认证配置情况下，开启CSRF，会报403错误。所以关闭CSRF，减少复杂性。 二、解决方案 在低于 2.204.6 版本中，可以 在 系统管理 > 全局安全配置 中操作CSRF的开启与关闭。 在高于2.204.6 版本中，需要在启动Jenkins时增加参数配置来关闭CSRF -Dhudson.security.csrf.G
jenkins 关闭关闭CSRF Protection（跨站请求伪造保护）
python程序员
07-11 1656
Jenkins版本自2.204.6以来的重大变更有：删除禁用 CSRF 保护的功能。从较旧版本的 Jenkins 升级的实例将启用 CSRF 保护和设置默认的发行者，如果之前被禁用。老版本Jenkins的CSRF保护功能只需要在 系统管理 > 全局安全配置 中便可进行打开或者关闭。让人头疼的是较高版本的Jenkins竟然在管理页面关闭不了CSRF。启动后在jenkins设置中-全局安全设置里面看是否关闭，如下图所示就是已经关闭了。我的jenkins版本是：2.332.4。我的启动命令，大伙可做参考。
Jenkins 2.387.2关闭跨站请求伪造保护（CSRF），亲测有效
qq_46274911的博客
04-23 892
在jenkins.service文件中找到Argument for the jenkins JVM。根据网上的方法在/etc/sysconfig/jenkins以及/etc/init.d/jenkins中添加。我使用的是centos7+Jenkins 2.387.2API，远程调用API，报错403。查找到jenkins的启动文件。在JAVA_POTS添加之后。之后重启jenkins。
高版本jenkins关闭跨站请求伪造保护（CSRF）
Cesare的博客
04-02 1051
高版本jenkins关闭跨站请求伪造保护 vi /etc/sysconfig/jenkins 修改JENKINS_JAVA_OPTIONS JENKINS_JAVA_OPTIONS="-Djava.awt.headless=true -Dhudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION=true"
Jenkins 页面部分显示Http状态403 被禁止
展翅的雄鹰
09-09 1439
生产环境Jenkins部署了一段时间了，结果今天在流水线配置中，部分页面显示Jenkins 页面部分显示Http状态403 被禁止，修改配置点击保存之后偶尔也会出现这个。
跨站点请求伪造_容器里运行的jenkins，关闭跨站请求伪造保护（CSRF）
weixin_39841610的博客
12-16 1006
gitlab要和jenkins进行联动，所以必须要需要对jenkins的安全做一些设置，依次点击系统管理-全局安全配置-授权策略，勾选"匿名用户具有可读权限"注意下面的的跨站点伪造保护(CSRF)请求必须要关闭，但是在Jenkins版本自2.2xx版本之后，在web界面里已经没法关闭了：所以在当前web界面里暂且不要管它，点击下面的保存。gitlab要触发jenkins的话，就必须要关闭...
4.Jenkins跨站请求伪造保护关闭
JCWang的博客
10-27 574
在全局安全配置中可以看到。在PARAMS处加入。
jenkins在启动时如何取消CSRF验证
Sunshine_Jessica的博客
04-14 372
Error 403 No valid crumb was included in the request
新版Jenkins关闭CSRF“HTTP ERROR 403 No valid crumb was included in the request“
qq_34498872的博客
01-05 1903
新版Jenkins关闭CSRF hudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION = true “管理詹金斯 > 脚本控制台”上运行上述内容 新版Jenkins打开CSRF hudson.security.csrf.GlobalCrumbIssuerConfiguration.DISABLE_CSRF_PROTECTION = false ...
jenkins 安装以及Jenkins无法在界面关闭跨站请求伪造保护（CSRF）解决403以及如何关闭Jenkins杀掉所有衍生进程
cputao的博客
08-22 1560
1.jenkins安装 2.高版本Jenkins无法在界面关闭跨站请求伪造保护（CSRF）解决403 3.Jenkins杀掉所有衍生进程导致无法启动子进程的解决办法
Security关闭CSRF
热门推荐
doStruggle的博客
06-06 1万+
问题 在项目中添加了Security模块后，在发送post请求时会失败，出现以下日志： Invalid CSRF token found for ... 原因 在Security的默认拦截器里，默认会开启CSRF处理，判断请求是否携带了token，如果没有就拒绝访问。并且，在请求为(GET|HEAD|TRACE|OPTIONS)时，则不会开启，可参考如下源码： // 先从tokenRep...
Windows Jenkins高级版本关闭CSRF(tomcat + jenkins.war)
qq_32242331的博客
08-09 611
Jenkins高级版本关闭CSRF(tomcat + jenkins.war) E:\apache\apache-tomcat-8.0.35\bin\catalina.bat 在行首添加如上图命令
请用Javascript写一段调用Jenkins job的示例代码，需要考虑Jenkins CSRF Protection 和 CORS 配置
09-18
### 回答1： 下面是一段使用Javascript调用Jenkins job并考虑Jenkins CSRF保护和CORS配置的示例代码： ```javascript var xhr = new XMLHttpRequest(); xhr.open("POST", "http://jenkins-server/job/job_name/build", true); xhr.setRequestHeader("Content-Type", "application/x-www-form-urlencoded"); xhr.setRequestHeader("Jenkins-Crumb", crumb); xhr.withCredentials = true; xhr.onreadystatechange = function() { if (xhr.readyState === XMLHttpRequest.DONE && xhr.status === 201) { console.log("Build triggered successfully."); } }; xhr.send("param1=value1&param2=value2"); ``` 在上面的代码中，`crumb` 变量是 Jenkins Crumb，需要通过其他方式获取（如请求 `http://jenkins-server/crumbIssuer/api/json` 获取）。而请求的参数（如 "param1=value1&param2=value2"）是根据具体的 Jenkins job 所需要的参数来定义的。 需要注意的是，Jenkins的CORS配置需要在Jenkins服务器上进行，才能正常调用。如果CORS配置未正确配置，在使用上述代码可能会收到类似“No 'Access-Control-Allow-Origin' header is present on the requested resource”的错误消息。 ### 回答2： 要在Javascript中调用Jenkins job，需要考虑Jenkins的CSRF保护和CORS配置。首先，CSRF保护是Jenkins默认启用的，它会要求每个请求都包含一个有效的crumb token。而CORS配置是为了避免跨域请求的限制。 以下是一段使用Javascript调用Jenkins job的示例代码，同时处理了CSRF保护和CORS配置问题： ```javascript // 1. 获取CSRF token function getCSRFToken(callback) { var xhr = new XMLHttpRequest(); xhr.open('GET', '/crumbIssuer/api/json', true); // crumbIssuer接口用于获取CSRF token xhr.onload = function() { if (xhr.status === 200) { var response = JSON.parse(xhr.responseText); var crumb = response.crumb; var crumbToken = response.crumbRequestField; callback(crumb, crumbToken); } }; xhr.send(); } // 2. 发送请求执行Jenkins job function executeJenkinsJob() { getCSRFToken(function(crumb, crumbToken) { var xhr = new XMLHttpRequest(); var url = '<Jenkins Job的URL>'; xhr.open('POST', url, true); xhr.setRequestHeader(crumbToken, crumb); // 添加CSRF token到header xhr.withCredentials = true; // 允许发送包含凭据的请求，以便进行身份验证 xhr.onload = function() { if (xhr.status === 200) { console.log('Jenkins job执行成功！') } else { console.error('Jenkins job执行失败！'); } }; xhr.onerror = function() { console.error('请求失败！'); }; xhr.send(); }); } executeJenkinsJob(); ``` 在上述代码中，`getCSRFToken`函数用于获取Jenkins的CSRF token，并将token和crumbRequestField传递给回调函数。然后，在`executeJenkinsJob`函数中，我们通过创建一个XMLHttpRequest对象，设置请求的URL、headers，并发送请求来执行Jenkins job。设置`xhr.withCredentials`为true是为了让浏览器发送包含凭据的请求，以进行身份验证。 值得注意的是，如果需要跨域调用Jenkins job，还需要在Jenkins服务器上进行CORS配置，允许来自指定域的请求。具体配置可参考Jenkins的CORS插件文档或相关文档。 ### 回答3： 下面是一个使用JavaScript调用Jenkins job的示例代码，同时考虑了Jenkins CSRF Protection和CORS配置： ``` // 导入必要的模块 const fetch = require('node-fetch'); const btoa = require('btoa'); // 定义Jenkins的URL和认证信息 const jenkinsUrl = 'http://jenkins.example.com'; const username = 'your_username'; const password = 'your_password'; // 定义要调用的Jenkins job的信息 const jobName = 'your_job_name'; const buildParameters = { param1: 'value1', param2: 'value2' }; // 执行调用Jenkins job的函数 async function executeJenkinsJob() { try { // 获取CSRF Crumb const csrfCrumb = await fetch(`${jenkinsUrl}/crumbIssuer/api/json`, { method: 'GET', headers: { 'Authorization': `Basic ${btoa(`${username}:${password}`)}` } }).then(res => res.json()); // 配置CORS请求头 const headers = { 'Authorization': `Basic ${btoa(`${username}:${password}`)}`, 'Jenkins-Crumb': csrfCrumb.crumb }; // 构建请求URL const buildUrl = `${jenkinsUrl}/job/${jobName}/buildWithParameters?${new URLSearchParams(buildParameters).toString()}`; // 发起POST请求执行Jenkins job const response = await fetch(buildUrl, { method: 'POST', headers: headers }); // 检查请求响应状态码 if (response.ok) { console.log('Jenkins job执行成功！'); } else { console.error('Jenkins job执行失败！'); } } catch (error) { console.error('执行Jenkins job时发生错误：', error); } } // 调用executeJenkinsJob函数 executeJenkinsJob(); ``` 在这个示例代码中，我们首先使用`node-fetch`模块发送HTTP请求，通过GET请求获取Jenkins的CSRF Crumb。然后，我们构建带有适当请求头的POST请求，以调用Jenkins job并传递构建参数。最后，我们根据响应状态码判断Jenkins job的执行结果。 请注意，示例代码中的`jenkinsUrl`、`username`和`password`变量需要根据实际情况进行修改。此外，这个示例代码在Node.js环境下运行，如果在浏览器中运行，可能需要进行一些额外的配置。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值