Spring security - 使用 REST 方法的 CSRF

Question

我有一个 rest api，其中公开了 get、post、put 和 delete 方法。我正在使用 spring security 并实现基本身份验证。我允许具有 USER 角色的用户发出 GET 请求，而其他请求只能由具有 ADMIN 角色的用户发出。我看到，如果我不添加 crsf().disable() 行，只有 GET 方法可以正常工作，而其他方法则显示 403 Forbidden。但是，当我添加 csrf().disable() 时，所有方法都可以正常工作。这是预期的还是我做错了什么？

Answer 1

启用csrf 时，springboot 希望您在向端点发出的每个请求中发送 csrf token 。如果不包含，则请求被拒绝，您将获得 403 响应代码。它就像一个 HTTP session 。但其余端点是无状态的，因此最好不要将 csrf 与它一起使用。其余端点基本上不受 csrf 攻击，因为它们是无状态的。阅读 doc .