简体繁体 English

Spring Security - GET 请求上的 CSRF 令牌

[英]Spring Security - CSRF token on GET request

原文 2019-07-29 02:21:10 1 1 spring/ spring-security

I configured CSRF protection in my Spring 5 (Boot 2) RESTful web service because I want to prevent CSRF attacks (I am using JWT cookie for authentication and authorization).我在 Spring 5 (Boot 2) RESTful Web 服务中配置了 CSRF 保护，因为我想防止 CSRF 攻击（我使用JWT cookie 进行身份验证和授权）。 On each request I am getting a new XSRF cookie.在每个请求中，我都会收到一个新的XSRF cookie。 The value of that cookie I am sending back through the X-CSRF-TOKEN header.我通过X-CSRF-TOKEN标X-CSRF-TOKEN回的那个 cookie 的值。

I noticed that POST , PUT and DELETE methods require the value of this token (in the X-CSRF-TOKEN header) in order to work properly, but GET method works just fine without X-CSRF-TOKEN header.我注意到POST 、 PUT和DELETE方法需要这个令牌的值（在X-CSRF-TOKEN标头中）才能正常工作，但GET方法在没有X-CSRF-TOKEN标头的情况下工作得很好。

Is this behavior intentional because GET method should not change state or I did something wrong?这种行为是故意的，因为GET方法不应该改变状态或者我做错了什么？

1 个解决方案

CSRF 令牌被有意从 GET 中排除，以避免令牌泄漏给第三者

Spring Security 中每个请求的 CSRF 令牌 - CSRF token per request in spring security

Spring Security中每个请求的不同csrf令牌 - Different csrf token per request in Spring security

Spring 安全 csrf 已禁用，仍然找到无效的 CSRF 令牌 - Spring security csrf disabled, still get an Invalid CSRF token found

在 Spring Security 中禁用 CSRF 时，未授权获取请求 - Get request is not authorized when CSRF is disabled in Spring Security

在spring-security中更改csrf令牌 - change csrf token in spring-security

Spring Security 发现无效的 CSRF 令牌 - Spring Security Invalid CSRF token found

在spring security中使用CSRF令牌获取403 - Getting 403 with CSRF token in spring security

Spring Security CSRF：如何在Java中检索令牌 - Spring Security CSRF: How to retrieve token in Java

Spring Security CSRF Token不使用AJAX - Spring Security CSRF Token not working with AJAX

找不到Spring Security 4 curl CSRF令牌 - Spring Security 4 curl csrf token not found

暂无

暂无

声明:本站的技术帖子网页，遵循CC BY-SA 4.0协议，如果您需要转载，请注明本站网址或者原文地址。任何问题请咨询:yoyou2525@163.com.

相关问题 Spring Security 中每个请求的 CSRF 令牌 - CSRF token per request in spring security Spring Security中每个请求的不同csrf令牌 - Different csrf token per request in Spring security Spring 安全 csrf 已禁用，仍然找到无效的 CSRF 令牌 - Spring security csrf disabled, still get an Invalid CSRF token found 在 Spring Security 中禁用 CSRF 时，未授权获取请求 - Get request is not authorized when CSRF is disabled in Spring Security 在spring-security中更改csrf令牌 - change csrf token in spring-security Spring Security 发现无效的 CSRF 令牌 - Spring Security Invalid CSRF token found 在spring security中使用CSRF令牌获取403 - Getting 403 with CSRF token in spring security Spring Security CSRF：如何在Java中检索令牌 - Spring Security CSRF: How to retrieve token in Java Spring Security CSRF Token不使用AJAX - Spring Security CSRF Token not working with AJAX 找不到Spring Security 4 curl CSRF令牌 - Spring Security 4 curl csrf token not found

相关标签

粤ICP备18138465号 © 2020-2024 STACKOOM.COM