Spring 安全中的條件 CSRF 保護

Question

我們正在使用 Spring Boot 開發一個 Web API，它應該支持 React 客戶端和移動應用程序。 對於 Web 方面，我們使用帶有 cookie 的會話管理進行授權並啟用 CSRF，移動應用程序將使用不記名令牌發送授權信息。 現在假設我們有一個用於修改用戶數據的端點，它將被 React 客戶端和移動應用程序使用，有沒有辦法在移動應用程序嘗試訪問它時禁用 CSRF 檢查，因為移動應用程序不應該真的容易受到 CSRF 攻擊嗎？

Answer 1

有沒有辦法在移動應用程序嘗試訪問它時禁用 CSRF 檢查

是的，您可以讓移動版本使用不同的 URL。 然后你可以像這樣配置HttpSecurity bean。

     http
         .csrf()
             .ignoringAntMatchers("/my-csrf-disabled-uri-for-mobile/**")
             .and()

這能解決您的問題嗎？ 在評論中告訴我。