jsp - Spring 安全 csrf 为空

Question

我有登录表单，我想保护它免受 csrf 攻击。

我的 spring-security.xml

<sec:http auto-config="true" use-expressions="true">
    ...
    <sec:csrf />
</sec:http>

我的jsp文件(使用瓷砖):

<form class="navbar-form navbar-right form-inline" method="POST" role="form"
  action="j_spring_security_check">
  <div class="form-group">
    <input class="form-control" type="email" name="j_username">
  </div>
  <div class="form-group">
    <input class="form-control" type="password" name="j_password">
  </div>
  <button class="btn btn-default" type="submit">Login</button>

  <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}">
</form>

我可以授权，但是 csrf 是空的:

<input type="hidden" value="" name="">

谁能帮我？

Answer 1

如果您将应用 security="none"则不会生成 csrf token 。页面不会通过安全过滤器。使用角色匿名。

我没有详细介绍，但它对我有用。

<http auto-config="true" use-expressions="true">
    <intercept-url pattern="/login.jsp" access="hasRole('ANONYMOUS')" />
    <!-- you configuration -->
</http>