spring-security - Spring Boot 使用 CSRF token 和 BasicAuth 保护相同端点

Question

我有一个 Spring Boot REST 应用程序，它有两个主要部分:

• 我想用 token 保护 ajax 调用的 UI
• 我希望拥有基本身份验证的公共(public)端点

据我所知，我无法使用 CSRF token 保护公共(public)端点，因为它们需要 session 。问题是，某些端点需要两者都可以访问，那么当 UI 使用它时如何使用 CSRF 保护它们并为基本身份验证禁用 CSRF？

这是我目前拥有的，我完全禁用 csrf 以便基本工作...

http.requestMatchers().antMatchers("/form/fill", "/form/fill/*", "/form/fillParams", "/form/fillParams/*").and()
                .csrf().disable().authorizeRequests().anyRequest().hasAnyRole(SecurityConfiguration.ROLE_FORMS_AUTHOR,
                        SecurityConfiguration.ROLE_FORM_FILLER, SecurityConfiguration.ROLE_ADMIN)
                .and().httpBasic();

编辑:我找到了 this旧答案，我想知道是否有一种方法可以在我的案例中利用它，但我仍然不确定如何区分“本地”用户和使用 httpBasic() 进行身份验证的用户

Answer 1

在您的 Spring Security java 配置文件中，您可以如下配置 HttpSecurity 对象，以便仅对某些请求启用 CSRF 检查(默认情况下对所有请求启用传入请求和禁用将禁用所有传入请求，因此请求 Mather 可以在此处帮助您找到要启用或禁用 csrf 的路径。)。

确保通过端点或多个路径将 /urls-with-csrf-check/** 替换为您的路径..

 @Override
    protected void configure(HttpSecurity http) throws Exception {

        RequestMatcher csrfRequestMatcher = new RequestMatcher() {
            private RegexRequestMatcher requestMatcher =
                    new RegexRequestMatcher("/urls-with-csrf-check/**", null);

            public boolean matches(HttpServletRequest httpServletRequest) {
                if (requestMatcher.matches(httpServletRequest)) {
                    return true;
                }
                return false;
            }
        };

        http.requestMatchers().antMatchers("/form/fill", "/form/fill/*", "/form/fillParams", "/form/fillParams/*").and()
                .csrf()
                .requireCsrfProtectionMatcher(csrfRequestMatcher)
                .and()
                .authorizeRequests().anyRequest().hasAnyRole(SecurityConfiguration.ROLE_FORMS_AUTHOR, SecurityConfiguration.ROLE_FORM_FILLER, SecurityConfiguration.ROLE_ADMIN)
                .and().httpBasic();
    }