CSRF保护导致所有请求被禁止？教你如何解决！

2024-03-24 02:08:44

CSRF 保护：解决启用后导致所有请求被禁止的问题

跨站点请求伪造（CSRF）是一种常见的网络安全漏洞，它使攻击者能够以受害者的身份执行恶意操作。启用 CSRF 保护对于防止此类攻击至关重要，但有时也可能导致合法请求被阻止。本文将探讨在启用 CSRF 保护后导致所有非 GET 请求被禁止的原因，并提供解决该问题的详细步骤。

问题根源

启用 CSRF 保护时，应用程序会向客户端发送一个称为 CSRF 令牌的唯一值。客户端浏览器将此令牌存储在名为 CSRF-Token 的 HTTP 头中，并在发送后续请求时将其包含在请求中。服务器会检查请求中的 CSRF 令牌，如果与服务器存储的令牌匹配，则请求将被允许。否则，请求将被禁止。

在本文所述情况下，启用 CSRF 保护后所有非 GET 请求都被禁止，原因是请求中缺少 CSRF 令牌。在禁用 CSRF 保护时，可以通过绕过 CSRF 令牌验证来发送恶意请求。但是，启用 CSRF 保护后，由于缺少 CSRF 令牌，这些请求将被阻止。

解决方法

要解决此问题，需要在请求中包含 CSRF 令牌。有两种方法可以实现：

使用 JavaScript 脚本获取 CSRF 令牌： 前端应用程序可以使用 JavaScript 脚本从服务器获取 CSRF 令牌。然后，脚本将令牌添加到每个非 GET 请求中。
使用 Spring Security 的 CsrfFilter： Spring Security 提供了一个 CsrfFilter，可以自动向每个请求添加 CSRF 令牌。需要在 Spring Security 配置中启用 CsrfFilter。

步骤指南

使用 JavaScript 脚本获取 CSRF 令牌：

在 HTML 文件中添加以下代码：

<script>
  const csrfToken = '${_csrf.token}';
</script>

在 JavaScript 脚本中，使用以下代码向请求添加 CSRF 令牌：

fetch('api/endpoint', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    'X-CSRF-TOKEN': csrfToken
  },
  body: JSON.stringify({ ... })
})

使用 Spring Security 的 CsrfFilter：

在 SecurityConfig 类中，启用 CsrfFilter：

@Override
protected void configure(HttpSecurity http) throws Exception {
  http
    .csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
    ...
}