java - 如何在 Spring Security 中发送一些没有 csrf token 的 jsp 表单

Question

我正在使用<csrf/>我的 web 项目的 spring security xml 文件中的标记。通过这个标签，我必须在 jsp 页面中使用的每个表单中发送 csrf token 。

Spring 安全 xml 代码:

    <http auto-config="false" use-expressions="true" disable-url-rewriting="true">

    <intercept-url pattern="/**" access="isAuthenticated()" />

    <form-login
    <!--login tags -->
    </>

    <csrf/>
    </http>

但是有一种情况，我不想在 jsp 页面中发送特定表单的 csrf token ，我该怎么做。

我在 xml 文件中使用了以下标记

<http pattern="/specific_url/**">
  <csrf disabled="true"/>
</http>

出现错误:“cvc-complex-type.3.2.2:属性“disabled”不允许出现在元素“csrf”中”

Answer 1

对于 Spring Security 3.2.x 版本，使用 XML 配置时默认禁用 CSRF 保护。因此，只需从配置中删除 csrf 元素，它就会关闭。

从版本 4 开始，CSRF 保护默认启用，因此如果您升级，您将需要有问题的建议代码段。