个人中心
文章发布
退出
作者热门文章
- Java 双重比较
- java - 比较器与 Apache BeanComparator
- Objective-C 完成 block 导致额外的方法调用？
- database - RESTful URI 是否应该公开数据库主键？
25
4
我有一个 Spring boot 2 应用程序(rest API)并使用 Springfox Swagger 2 库，包括 UI 库。当我打开位于 http://localhost:8080/swagger-ui.html 的 swagger 界面时，一切都按预期工作，但是发出了两个请求，在记录器中给出了 404 结果:
http://localhost:8080/ (nothing is mapped to the root of my app)
http://localhost:8080/csfr (this mapping also doesn't exist, but I know it stands for 'cross site forged request')
显然 Swagger 这样做是因为它“支持”某种类型的 csfr token 检查 explained here .是否可以配置这些 404 调用已经进行了几个月的调查，所以我现在正在考虑实现端点。我找不到有关实际实现内容的信息。 swagger 期望什么样的 header / token ，它将如何处理其中的信息？我可以使用它来使我的应用程序(或 swagger 端点)更安全或更易于访问吗？简而言之:有什么意义 :)？
最佳答案
让我一一回答你的问题。
Why are the request made to
http://localhost:8080/andhttp://localhost:8080/csrf?
这是因为，Springfox Swagger 默认启用了对 CSRF 的支持。这样做的目的是，每当您尝试访问应用程序中的任何 swagger 端点时，它都会按以下顺序检查 CSRF token 并将其附加到请求 header 。
/ 上提供的元标记中的 CSRF token /csrfSpringfox Swagger 附加 CSRF token 的原因是，如果您的应用程序启用了CSRF 保护，如果它们没有 CSRF token 作为一部分，那么对 swagger 端点的请求将会失败标题。
What kind of header/token is swagger expecting, and what will it do with the information in it?
正如我之前所说，swagger 需要一个 CSRF token ，当您尝试访问任何 swagger 端点时，它会将其附加到请求的 header 。
Can I use this to make my app (or the swagger endpoint) more secure or accessible?
在您的应用中启用 CSRF 保护 将使您的应用免受 CSRF 攻击，而不必只是通过提供 CSRF token 以 Swagger 附加到 header 。如果您在您的应用中启用了 CSRF 保护，您必须通过上述 3 种方式中的任何一种提供 CSRF token ，以访问您应用中的任何 swagger 端点。开启CSRF保护的使用可以阅读here .
I'm failing to find information on what to actually implement
如果您没有在您的应用中启用 CSRF 保护，那么为 swagger 实现 CSRF token 条款是没有用的，因为它只是多余的。但是如果你想为 swagger 实现 CSRF token 提供，你可以通过以下 3 种方法中的任何一种来实现:
1) 在 / 提供的元标记中的 CSRF token
<html>
<head>
<meta name="_csrf" content="${_csrf.token}"/>
<!-- default header name is X-CSRF-TOKEN -->
<meta name="_csrf_header" content="${_csrf.headerName}"/>
</head>
这是为了防止您使用任何模板机制，如 JSP、thymeleaf 等。
2) 端点/csrf
定义端点 /csrf 以提供 CSRF token 。
@RequestMapping("/csrf")
public CsrfToken csrf() {
//logic to return the CSRF token
}
3) cookie 中的 CSRF token
搜索的默认 cookie 名称是 XSRF-TOKEN，返回的默认 header 名称是 X-XSRF-TOKEN。 Spring Security 提供了一种将 CSRF token 存储在 cookie 中的方法，如 swagger 所要求的，配置如下
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
}
}
实现上述 3 种方法中的任何一种都会提供带有 CSRF token 的 swagger 以附加到请求 header 。
以上内容引用自GitHub PR它为 Springfox swagger 和我之前链接的 Spring 安全文档提供了 CSRF 支持。
目前有一个关于默认启用的 CSRF 支持的未决问题 here ，以及几个带有修复程序的公开 PR #2639和 #2706 .
关于java - 加载swagger-ui.html页面时，请求host :port/and host:port/csfr，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/55582023/
25
4
0
我想要显示正在加载的 .gif，直到所有内容都已加载，包括嵌入的 iframe。但是，目前加载 gif 会在除 iframe 之外的所有内容都已加载后消失。我怎样才能让它等到 iframe 也加载完毕
首先，这是我第一次接触 Angular。 我想要实现的是，我有一个通知列表，我必须以某种方式限制 limitTo，因此元素被限制为三个，在我单击按钮后，其余的应该加载。 我不明白该怎么做: 设置“ V
我正在尝试在我的设备上运行这个非常简单的应用程序(使用 map API V2)，并且出于某种原因尝试使用 MapView 时: 使用 java 文件: public class MainMap e
我正在使用 Python 2.6、Excel 2007 Professional 和最新版本的 PyXLL。在 PyXLL 中加载具有 import scipy 抛出异常，模块未加载。有没有人能够在
我想做这个: 创建并打包原始游戏。然后我想根据原始游戏中的蓝图创建具有新网格/声音/动画和蓝图的其他 PAK 文件。原始游戏不应该知道有关其他网格/动画/等的任何信息。因此，我需要在原始游戏中使用 A
**摘要：**在java项目中经常会使用到配置文件，这里就介绍几种加载配置文件的方法。 本文分享自华为云社区《【Java】读取/加载 properties配置文件的几种方法》，作者：Copy工程师。
在 Groovy 脚本中是否可以执行条件导入语句？ if (test){ import this.package.class } else { import that.package.
我正在使用 NVidia 视觉分析器(来自 CUDA 5.0 beta 版本的基于 eclipse 的版本)和 Fermi 板，我不了解其中两个性能指标: 全局加载/存储效率表示实际内存事务数与请求事
有没有办法在通过 routeProvider 加载特定 View 时清除 Angular JS 存储的历史记录？ ? 我正在使用 Angular 创建一个公共(public)安装，并且历史会积累很多，
使用 Xcode 4.2，在我的应用程序中， View 加载由 segue 事件触发。 在 View Controller 中首先调用什么方法？ -(void) viewWillAppear:(BOO
我在某些Django模型中使用JSONField，并希望将此数据从Oracle迁移到Postgres。 到目前为止，当使用Django的dumpdata和loaddata命令时，我仍然没有运气来保持J
创建 Nib 时，我需要创建两种类型:WindowNib 或 ViewNib。我看到的区别是，窗口 Nib 有一个窗口和一个 View 。 如何将 View Nib 加载到另一个窗口中？我是否必须创建
我想将多个env.variables转换为静态结构。 我可以手动进行: Env { is_development: env::var("IS_DEVELOPMENT")
正如我从一个测试用例中看到的:https://godbolt.org/z/K477q1 生成的程序集加载/存储原子松弛与普通变量相同:ldr 和 str 那么，宽松的原子变量和普通变量之间有什么区别吗
我有一个重定向到外部网站的按钮/链接，但是外部网站需要一些时间来加载。所以我想添加一个加载屏幕，以便外部页面在显示之前完全加载。我无法控制外部网站，并且外部网站具有同源策略，因此我无法在 iFrame
我正在尝试为我的应用程序开发一个Dockerfile，该文件在初始化后加载大量环境变量。不知何故，当我稍后执行以下命令时，这些变量是不可用的: docker exec -it container_na
很难说出这里问的是什么。这个问题是含糊的、模糊的、不完整的、过于宽泛的或修辞性的，无法以目前的形式得到合理的回答。如需帮助澄清此问题以便重新打开它，visit the help center 。 已关
我刚刚遇到一个问题，我有一个带有一些不同选项的选择标签。 现在我想检查用户选择了哪些选项。 然后我想将一个新的 html 文件加载到该网站(取决于用户选中的选项)宽度 javascript，我该怎么做
我知道两种保存/加载应用程序设置的方法: 使用PersistentStore 使用文件系统(存储，因为 SDCard 是可选的) 我想知道您使用应用程序设置的做法是什么？ 使用 PersistentS
我开始使用 Vulkan 时偶然发现了我的第一个问题。尝试创建调试报告回调时(验证层和调试扩展在我的英特尔 hd vulkan 驱动程序上可用，至少它是这么说的)，它没有告诉我 vkCreateDeb
我是一名优秀的程序员,十分优秀！