angularjs - 使用 X-XSRF-TOKEN(如 angularjs) header 确保 CSRF 保护

Question

我正在尝试使用可靠的 Spring 安全身份验证编写 Web 集成测试。该应用程序使用 AngularJS 和 Spring Boot。
由于我使用 AngularJS，CSRF 保护是通过 X-XSRF-TOKEN header 和 XSRF-TOKEN cookie 完成的(据我所知，它是 angular 的默认值)。

如何配置 restassured 以生成并使用表单例份验证发送此 token ？现在我有这样的事情:

given().auth().form("user", "password", new FormAuthConfig("login", "username", "password").sendCsrfTokenAsHeader()).when().get("/index.html").then().log().all().statusCode(200);

但是在日志中，我看到 CSRF token 在将凭据发布到/login 时无效。

Answer 1

你需要做 2 GET在发布之前在您的休息客户端和测试类中使用 spring 安全 CSRF 保护。

做个 GET请求登录。这将返回 JSESSIONID token 和 XSRF-TOKEN token 。如果您使用返回的 XSRF-TOKEN至 POST它会失败，因为我们使用 empty/false JSESSIONID 得到它.

获取有用的 XSRF-TOKEN来自第二个 GET , 使用 JSESSIONID来自之前的请求。

现在您可以使用 XSRF-TOKEN为您 POST .

示例如何通过 X-XSRF-TOKEN 使用 CSRF 保护放心:

//1) get sessionId
Response response =
        given().auth().preemptive().basic(userName, userPassword).contentType(JSON).
        when().get(PREFIX_URL + "/users/user").
        then().log().all().extract().response();
String jsessionidId =  response.getSessionId();//or response.cookie("JSESSIONID");

//2) get XSRF-TOKEN using new/real sessionId
response =
        given().
        sessionId(jsessionidId).//or cookie("JSESSIONID", jsessionidId).
        contentType(JSON).
        when().get(PREFIX_URL + "/users/user").
        then().log().all().extract().response();

//3) post data using XSRF-TOKEN
given().log().all().
        sessionId(jsessionidId).//or cookie("JSESSIONID", jsessionidId).
        header("X-XSRF-TOKEN", response.cookie("XSRF-TOKEN")).
        queryParam("pos",pos.getId()).
        queryParam("date",date).
        queryParam("group_id",itemGroup.getId()).
        body(orderItems).
        contentType(JSON).
when().
        post(PREFIX_URL + "/orders/orderitems").
then().
    log().all().assertThat().statusCode(200);