Spring Security CsrfFilter过滤器用法实例

下面就来详细讲解一下“Spring Security CsrfFilter过滤器用法实例”的完整攻略。

什么是CsrfFilter过滤器？

Spring Security提供了CsrfFilter过滤器，用来防止跨站请求伪造攻击（CSRF攻击）。CsrfFilter利用同步令牌（synchronizer token）为每个请求分配一个唯一的token，即CSRF token，这个token在响应页面中随着表单数据返回给客户端，并且存在客户端指定的cookie中。当客户端下一次通过表单提交请求时，会携带这个token，服务器通过对比cookie和参数中的token是否相等来验证请求的合法性，从而防止CSRF攻击。

CsrfFilter的使用方法

1. 引入Spring Security依赖

首先，需要加入Spring Security依赖，以便使用CsrfFilter过滤器：

<!-- Spring Security -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.5.0</version>
</dependency>

2. 添加过滤器

在Spring Security配置的HttpSecurity对象中添加CsrfFilter过滤器即可：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable() // 关闭默认的csrf防护
            .addFilterAfter(new CsrfFilter(), CsrfFilter.class) // 添加CsrfFilter过滤器
            .authorizeRequests()
            .anyRequest().authenticated() // 所有请求都需要认证
            .and()
            .formLogin().permitAll() // 允许表单登录
            .and()
            .logout().permitAll(); // 允许注销
    }

    // ...
}

其中，CsrfFilter类是Spring Security提供的默认的CsrfFilter过滤器，我们需要将其添加到过滤器链中，通常添加在UsernamePasswordAuthenticationFilter过滤器之后。

在上面的示例中，我们还关闭了默认的csrf防护，这是为了避免在配合自定义的CsrfFilter过滤器时发生冲突。

3. 在表单中添加CSRF token

在页面中，需要将获取到的CSRF token添加到表单中：

<html>
<head>
    ...
    <meta name="csrf-token" content="${_csrf.token}"/>
    <meta name="csrf-expression" content="${_csrf.parameterName}"/>
</head>
<body>
    ...
    <form method="post" action="/doSomething">
        <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
        ...
        <button type="submit">提交</button>
    </form>
</body>
</html>

在这个示例中，我们使用了Spring Security提供的${_csrf.token}和${_csrf.parameterName}，它们分别表示CSRF token和CSRF token的参数名。

4. 验证CSRF token的匹配性

最后，在服务器端验证CSRF token的匹配性：

@RestController
public class MyController {

    @PostMapping("/doSomething")
    public String doSomething(@RequestParam(name = "_csrf", required = false) String csrfToken) {
        if (csrfToken == null || !csrfToken.equals(CookieCsrfTokenRepository.withHttpOnlyFalse().loadToken(request).getToken())) {
            throw new InvalidRequestException("Invalid CSRF token found!");
        }
        // TODO: 处理请求
        return "OK";
    }

    // ...
}

在这个示例中，我们使用了CookieCsrfTokenRepository类的loadToken方法来加载cookie中的CSRF token，然后通过equals方法与请求参数中的CSRF token进行比较。

示例

下面我们来给出两个示例，分别是通过表单提交和AJAX提交过来的请求。

示例一：表单提交

假设有一个表单页面，在提交表单时需要加入CSRF token，操作示例如下：

<html>
<head>
    <meta name="csrf-token" content="${_csrf.token}"/>
    <meta name="csrf-expression" content="${_csrf.parameterName}"/>
</head>
<body>
    <form method="post" action="/doSomething">
        <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
        <input type="text" name="param1"/>
        <input type="text" name="param2"/>
        <button type="submit">提交</button>
    </form>
</body>
</html>

在这个示例中，我们通过meta标签将页面中的CSRF token和CSRF token参数名传递到客户端，然后在表单中添加一个隐藏的input控件，它的name属性为${_csrf.parameterName}，value属性为${_csrf.token}。

在服务器端，可以通过@RequestParam注解来获取请求参数中的CSRF token，然后通过CookieCsrfTokenRepository类来验证token的匹配性。

示例二：AJAX提交

假设有一个AJAX请求，在发送请求时需要加入CSRF token，操作示例如下：

$(document).ready(function() {
    var csrfToken = $("meta[name='_csrf']").attr("content");
    var csrfHeader = $("meta[name='_csrf_header']").attr("content");

    $.ajaxSetup({
        headers: {
            csrfHeader: csrfToken
        }
    });

    $("#btn").click(function() {
        var data = {
            param1: "value1",
            param2: "value2"
        };

        $.ajax({
            url: "/doSomething",
            type: "POST",
            data: data,
            success: function(result) {
                alert("成功：" + result);
            },
            error: function(xhr, status, error) {
                alert("失败：" + error);
            }
        });
    });
});

在这个示例中，我们首先获取页面中的CSRF token和CSRF token的参数名，然后通过$.ajaxSetup方法设置全局默认的请求头部信息，即把CSRF token加入请求头部。在发送AJAX请求时，不需要显示地添加CSRF token参数，因为它已经被包含在请求头部信息中了。

在服务端，与示例一一样，通过CookieCsrfTokenRepository类来验证token的匹配性。

本站文章如无特殊说明，均为本站原创，如若转载，请注明出处：Spring Security CsrfFilter过滤器用法实例 - Python技术站