为什么我可以在没有 JSESSIONID 的情况下使用 StompCommand.CONNECT，但需要 X-XSRF-TOKEN？

Question

我的目标是保护 WebSocket 端点，例如ws://localhost:8080/chat 。

我做了什么：

1. 我试图用 STOMP 创建 WebSocket 连接

   var socket = new SockJS("/chat"); stompClient = Stomp.over(socket); stompClient.connect({"X-XSRF-TOKEN": getCookie("XSRF-TOKEN")}, function (status) { // it should not execute. });

   AbstractSecurityWebSocketMessageBrokerConfigurer

    // see: https://docs.spring.io/spring-security/site/docs/current/reference/html5/#websocket @Configuration public class WebSocketSecurityConfig extends AbstractSecurityWebSocketMessageBrokerConfigurer { @Override protected void configureInbound(MessageSecurityMetadataSourceRegistry messages) { messages.nullDestMatcher().authenticated().simpDestMatchers("/app/**").hasRole("USER").simpDestMatchers("/user/**", "/topic/channel/*").hasRole("USER").simpTypeMatchers(MESSAGE, SUBSCRIBE).denyAll().anyMessage().denyAll(); } }

   WebSocketMessageBrokerConfigurer

    @Configuration @EnableWebSocketMessageBroker public class WebSocketConfig implements WebSocketMessageBrokerConfigurer { @Override public void registerStompEndpoints(StompEndpointRegistry registry) { registry.addEndpoint("/chat").withSockJS(); // user connect to } @Override public void configureMessageBroker(MessageBrokerRegistry registry) { registry.setApplicationDestinationPrefixes("/app"); // user send message to registry.enableSimpleBroker("/topic", "/queue"); // user subscribe to.. for channel messages. registry.setUserDestinationPrefix("/user"); // user subscribe to.. for private messages. } }

   WebSecurityConfigurerAdapter

    @Configuration public class WebSecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()).and().formLogin().and().authorizeRequests().anyRequest().authenticated(); } }

我的预期结果是：WebSocket 连接应该失败，因为我没有发送 JSESSIONID。

我的实际结果是：Spring 安全识别用户，我可以通过(UserDetails) SecurityContextHolder.getContext().getAuthentication().getPrincipal()获取UserDetails 。

我的问题：

1. 如果我想使用数据库，我应该存储 JSESSIONID 还是 XSRF-TOKEN？

2. 使用X-XSRF-TOKEN是否是保护 StompCommand.CONNECT 端点的正确方法？

3. 为什么 Spring 安全要求X-XSRF-TOKEN而不是JSESSIONID 。 CSRF token不是用来防止跨站请求伪造的吗？

   如果我在请求 header 中创建一个没有X-XSRF-TOKEN密钥的 WebSocket 连接，这是我从浏览器控制台得到的错误。

    <<< ERROR message:Failed to send message to ExecutorSubscribableChannel[clientInboundChannel]; nested exception is org.springframework.security.web.csrf.InvalidCsrfTokenException\c Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-XSRF-TOKEN'. content-length:0

Answer 1

首先，我会尽力帮助您进行 WS 连接。 我尝试了与您类似的配置，但无法在未经授权的情况下连接到 WS。 我确认在浏览器中没有 JSESSIONID cookie，或者当有 JSESSIONID cookie 时，它连接到匿名 session。尝试将 org.springframework.security 的日志记录设置为 TRACE 并按照写入的日志进行操作，它将帮助您确定哪个过滤器授权访问，如果就是这样。

对于您指定的问题：

1. JSESSIONID 和 XSRF-TOKEN 不可互换。 我相信对于相同的 JSESSIONID 你可以收到不同的 XSRF-TOKEN cookies。所以我认为你应该存储 session id。 Spring 有这个项目： Spring Session JDBC

2. 我认为是的。 甚至 Spring 安全默认情况下也需要它。 Spring 保安 Websocket

任何入站 CONNECT 消息都需要有效的 CSRF 令牌来执行同源策略

3. 我不确定您对跨站请求伪造有多熟悉。 如果你不是，请检查这个Spring CSRF ，但用几句话：

JSESSIONID 是 cookie，它会随每个请求一起发送到您的站点，甚至来自其他站点。 因为这就是浏览器的工作方式。 所以为了防止误用 session，需要 CSRF token。 因为您没有使用 HTML 来执行表单提交等操作，所以您需要以其他方式传递此令牌。 Spring 要求您使用名为 X-XSRF-TOKEN 的 Header 发送它，因为浏览器不会像 cookie 一样在每个请求中发送它。 安全在于其他站点，它试图利用漏洞，无法从您的站点读取 cookie，也无法使用它在 header 中添加 CSRF 以进行利用请求。

所以，我认为你的解决方案没问题。 请记住，HTTP 和 WS 是不同的协议，即使 WS 使用 HTTP 进行握手，但它添加了多个标头。 也许是因为 Spring 忽略了权限检查，但我认为您可能错过了一些东西，而 spring 安全跟踪日志将指导您检查什么。