java - 通过 url 点击在注销表单中调用 ${_csrf.parameterName} 和 ${_csrf.token}

Question

您好，我正在通过 Spring 学习安全性，我从教程中读到了一句话如果启用了 CSRF，则必须包含 _csrf.token在您要登录或注销的页面中。

以下是我如何通过提交按钮调用它们:

    <c:url var="logoutAction" value="/j_spring_security_logout" />                
        <form action="${logoutAction}" method="post">
        <input type="submit" value="Logout" />
        <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
        </form>

我的问题是，如果以 <a href=".."> 的形式调用它们，会如何？ :

<c:url var="logoutAction" value="/j_spring_security_logout" />    
<a href="${logoutAction}"> logout</a> 

我如何在上面的表单中调用csrf保护，希望您能明白我的问题，谢谢。

Answer 1

您必须在注销路径中包含 csrf，即 /yourapp/logout?[csrf_param_name]=[csrf_token]。