Spring 安全性 - 使用 REST 方法的 CSRF

Question

我有一個 rest api，我在其中公開了獲取、發布、放置和刪除方法。 我正在使用 spring 安全性並實施基本身份驗證。 我允許具有USER角色的用戶發出 GET 請求，而其他請求只能由具有 ADMIN 角色的用戶發出。 我看到，如果我不添加crsf().disable()行，則只有 GET 方法可以正常工作，而其他方法則得到 403 Forbidden。 但是，當我添加csrf().disable()時，所有方法都可以正常工作。 這是預期的還是我做錯了什么？

Answer 1

啟用csrf ，springboot 期望您在向端點發出的每個請求中發送 csrf 令牌。 如果不包括在內，則請求被拒絕，您將獲得 403 響應代碼。 它就像一個 HTTP session。 但是 rest 端點是無狀態的，所以最好不要使用csrf 。 Rest 端點基本上不受 csrf 攻擊，因為它們是無狀態的。閱讀文檔。