java - Spring Boot CSRF 在负载均衡器处理时失败

Question

我已经使用基于 header 的 token 方法在 Spring Boot 中实现了 CSRF 过滤器。当我在单个服务器上运行时，我的应用程序运行良好，当我引入另一台服务器或由负载均衡器处理的请求(取决于负载均衡器如何处理请求)时，它无法验证另一台服务器给出的 token 。

这里有人可以告诉我，我们如何基于特定 key 为 CSRF 创建 token ，该 key 对于所有服务器都相同，并且每个服务器都将访问相同的 key 来识别用户，或者以其他方式在不同的服务器中共享 CSRF token 服务器。

Answer 1

有两种方法可以解决此问题:

1. 配置您的负载均衡器以使用/处理粘性 session 。例如，如果您使用 Nginx 作为负载均衡器，您可以浏览以下链接:

   • http://nginx.org/en/docs/http/load_balancing.html
   • https://aggarwalarpit.wordpress.com/2015/11/12/sticky-session-load-balancer-with-nginx/

2. 如果您不想使用粘性 session ，则可以使用 Spring Session，因为默认情况下 CSRF token 存储在 HTTP session 中。

   因此您需要复制 HTTP session 。您可以使用 Spring Session 来完成此操作。

   请参阅以下链接:

   • https://docs.spring.io/spring-session/reference/
   • https://blog.jayway.com/2015/05/31/scaling-out-with-spring-session/
   
   您需要安装 Redis 服务器。如果尚未安装，您可以按照以下步骤操作:

   Redis

   Download并安装Redis。例如，如果您使用 OS X，则可以使用 Brew，例如

    $ brew install redis  
   

(如果您使用 Linux，则可以使用 yum 或 apt-get。或者，请阅读快速入门指南。)

 Start Redis by calling the redis-server command, e.g. if you use Brew on OS X:

    $ redis-server /usr/local/etc/redis.conf

 [...]

 Port: 6379

 [...]

 Server started, Redis version 3.0.1

 [...]