พบโทเค็น CSRF 'null' ที่ไม่ถูกต้องในพารามิเตอร์คำขอ '_csrf' หรือส่วนหัว 'X-CSRF-TOKEN'

หลังจากกำหนดค่า Spring Security 3.2 แล้ว_csrf.tokenจะไม่ถูกผูกไว้กับคำขอหรือวัตถุเซสชัน

นี่คือการกำหนดค่าความปลอดภัยสปริง:

<http pattern="/login.jsp" security="none"/>

<http>
    <intercept-url pattern="/**" access="ROLE_USER"/>
    <form-login login-page="/login.jsp"
                authentication-failure-url="/login.jsp?error=1"
                default-target-url="/index.jsp"/>
    <logout/>
    <csrf />
</http>

<authentication-manager>
    <authentication-provider>
        <user-service>
            <user name="test" password="test" authorities="ROLE_USER/>
        </user-service>
    </authentication-provider>
</authentication-manager>

ไฟล์ login.jsp

<form name="f" action="${contextPath}/j_spring_security_check" method="post" >
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
    <button id="ingresarButton"
            name="submit"
            type="submit"
            class="right"
            style="margin-right: 10px;">Ingresar</button>
    <span>
        <label for="usuario">Usuario :</label>
        <input type="text" name="j_username" id="u" class="" value=''/>
    </span>
    <span>
        <label for="clave">Contrase&ntilde;a :</label>

        <input type="password"
               name="j_password"
               id="p"
               class=""
               onfocus="vc_psfocus = 1;"
               value="">
    </span>
</form>

และแสดงผล html ถัดไป:

<input type="hidden" name="" value="" />

ผลลัพธ์คือสถานะ HTTP 403:

Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'.

อัปเดต หลังจากดีบักบางอย่างอ็อบเจ็กต์ที่ร้องขอจะออกมาในรูปแบบ DelegatingFilterProxy ที่ดี แต่ในบรรทัด 469 ของ CoyoteAdapter จะดำเนินการ request.recycle (); ที่ลบคุณลักษณะทั้งหมด ...

ฉันทดสอบใน Tomcat 6.0.36, 7.0.50 กับ JDK 1.7

ฉันไม่เข้าใจพฤติกรรมนี้แทนที่จะเป็นไปได้ถ้ามีคนชี้ฉันไปในทิศทางของสงครามตัวอย่างแอปพลิเคชันกับ Spring Security 3.2 ที่ทำงานร่วมกับ CSRF

ดูเหมือนว่าการป้องกัน CSRF (การปลอมแปลงคำขอข้ามไซต์) ในแอปพลิเคชัน Spring ของคุณถูกเปิดใช้งาน จริงๆแล้วมันถูกเปิดใช้งานโดยค่าเริ่มต้น

อ้างอิงจากspring.io :

คุณควรใช้การป้องกัน CSRF เมื่อใด คำแนะนำของเราคือใช้การป้องกัน CSRF สำหรับคำขอใด ๆ ที่เบราว์เซอร์สามารถดำเนินการได้โดยผู้ใช้ทั่วไป หากคุณกำลังสร้างบริการที่ใช้โดยไคลเอนต์ที่ไม่ใช่เบราว์เซอร์เท่านั้นคุณอาจต้องการปิดใช้งานการป้องกัน CSRF

ดังนั้นเพื่อปิดการใช้งาน:

@Configuration
public class RestSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable();
  }
}

หากคุณต้องการเปิดใช้งานการป้องกัน CSRF ไว้คุณต้องรวมไว้ในรูปแบบของไฟล์csrftoken. คุณสามารถทำได้ดังนี้:

<form .... >
  ....other fields here....
  <input type="hidden"  name="${_csrf.parameterName}"   value="${_csrf.token}"/>
</form>

คุณยังสามารถรวมโทเค็น CSRF ในการดำเนินการของแบบฟอร์ม:

<form action="./upload?${_csrf.parameterName}=${_csrf.token}" method="post" enctype="multipart/form-data">

คุณไม่ควรเพิ่มแบบฟอร์มเข้าสู่ระบบหรือไม่;

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/> 

ตามที่ระบุไว้ที่นี่ในเอกสารความปลอดภัยของ Spring

หากคุณจะสมัครจะsecurity="none"ไม่มีการสร้างโทเค็น csrf หน้าจะไม่ผ่านตัวกรองความปลอดภัย ใช้บทบาทไม่ระบุชื่อ

ฉันไม่ได้ลงรายละเอียด แต่มันใช้ได้ผลสำหรับฉัน

 <http auto-config="true" use-expressions="true">
   <intercept-url pattern="/login.jsp" access="hasRole('ANONYMOUS')" />
   <!-- you configuration -->
   </http>

พยายามที่จะเปลี่ยนนี้: ไปนี้:<csrf /> <csrf disabled="true"/>ควรปิดการใช้งาน csfr

ด้วยใบโหระพาคุณสามารถเพิ่ม:

<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>

เอกสาร Spring เพื่อปิดการใช้งาน csrf: https://docs.spring.io/spring-security/site/docs/current/reference/html/csrf.html#csrf-configure

@EnableWebSecurity
public class WebSecurityConfig extends
WebSecurityConfigurerAdapter {

   @Override
   protected void configure(HttpSecurity http) throws Exception {
      http.csrf().disable();
   }
}

ผมเคยมีปัญหาเดียวกัน

การกำหนดค่าของคุณใช้ความปลอดภัย = "ไม่มี" จึงไม่สามารถสร้าง _csrf:

<http pattern="/login.jsp" security="none"/>

คุณสามารถตั้งค่าการเข้าถึง = "IS_AUTHENTICATED_ANONYMOUSLY" สำหรับเพจ /login.jsp แทนที่ config ด้านบน：

<http>
    <intercept-url pattern="/login.jsp*" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
    <intercept-url pattern="/**" access="ROLE_USER"/>
    <form-login login-page="/login.jsp"
            authentication-failure-url="/login.jsp?error=1"
            default-target-url="/index.jsp"/>
    <logout/>
    <csrf />
</http>

ฉันคิดว่า csrf ใช้ได้กับสปริงฟอร์มเท่านั้น

<%@ taglib prefix="form" uri="http://www.springframework.org/tags/form" %>

เปลี่ยนเป็นform:formแท็กและดูว่าได้ผล

โปรดดูแอปพลิเคชันตัวอย่างการทำงานของฉันบน Githubและเปรียบเทียบกับการตั้งค่าของคุณ

ไม่มีวิธีแก้ปัญหาใดวิธีหนึ่งที่ใช้ได้ผลกับฉัน สิ่งเดียวที่เหมาะกับฉันในรูปแบบฤดูใบไม้ผลิคือ:

action = "./ upload? $ {_ csrf.parameterName} = $ {_ csrf.token}"

แทนที่ด้วย:

action = "./ อัปโหลด? _csrf = $ {_ csrf.token}"

(สปริง 5 พร้อมเปิดใช้งาน csrf ในการกำหนดค่า java)

ในคอนโทรลเลอร์ของคุณให้เพิ่มสิ่งต่อไปนี้:

@RequestParam(value = "_csrf", required = false) String csrf

และในหน้า jsp เพิ่ม

<form:form modelAttribute="someName" action="someURI?${_csrf.parameterName}=${_csrf.token}