|
对于最新的稳定版本，请使用 Spring Security 6.4.1！ |
WebFlux 环境的跨站点请求伪造 （CSRF）
本节讨论 Spring Security 对 WebFlux 环境的跨站点请求伪造 （CSRF） 支持。
使用 Spring Security CSRF 保护
使用 Spring Security 的 CSRF 保护的步骤概述如下：
使用正确的 HTTP 动词
防止 CSRF 攻击的第一步是确保您的网站使用正确的 HTTP 动词。 安全方法必须幂等中对此进行了详细介绍。
配置 CSRF 保护
下一步是在应用程序中配置 Spring Security 的 CSRF 保护。 默认情况下，Spring Security 的 CSRF 保护处于启用状态，但您可能需要自定义配置。 接下来的几个小节介绍了一些常见的自定义项。
自定义 CsrfTokenRepository
默认情况下，Spring Security 将预期的 CSRF 令牌存储在WebSession通过使用WebSessionServerCsrfTokenRepository.
有时，您可能需要配置自定义ServerCsrfTokenRepository.
例如，您可能希望将CsrfToken以支持基于 JavaScript 的应用程序。
默认情况下，CookieServerCsrfTokenRepository写入名为XSRF-TOKEN并从名为X-XSRF-TOKEN或 HTTP_csrf参数。
这些默认值来自 AngularJS
您可以配置CookieServerCsrfTokenRepository在 Java 配置中：
-
Java
-
Kotlin
@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
http
// ...
.csrf(csrf -> csrf.csrfTokenRepository(CookieServerCsrfTokenRepository.withHttpOnlyFalse()))
return http.build();
}@Bean
fun springSecurityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
return http {
// ...
csrf {
csrfTokenRepository = CookieServerCsrfTokenRepository.withHttpOnlyFalse()
}
}
}|
前面的示例显式设置 |
禁用 CSRF 保护
默认情况下，CSRF 保护处于启用状态。 但是，如果 CSRF 保护对您的应用程序有意义，您可以禁用它。
下面的 Java 配置将禁用 CSRF 保护。
-
Java
-
Kotlin
@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
http
// ...
.csrf(csrf -> csrf.disable()))
return http.build();
}@Bean
fun springSecurityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
return http {
// ...
csrf {
disable()
}
}
}配置 ServerCsrfTokenRequestHandler
Spring Security 的CsrfWebFilter暴露一个Mono<CsrfToken>作为ServerWebExchange名为org.springframework.security.web.server.csrf.CsrfToken在ServerCsrfTokenRequestHandler.
在 5.8 中，默认实现为ServerCsrfTokenRequestAttributeHandler，它只会使Mono<CsrfToken>可用作 Exchange 属性。
从 6.0 开始，默认实现为XorServerCsrfTokenRequestAttributeHandler，它为 BREACH 提供保护（请参阅 gh-4001）。
如果您希望禁用CsrfToken并恢复到 5.8 默认值，您可以配置ServerCsrfTokenRequestAttributeHandler使用以下 Java 配置：
-
Java
-
Kotlin
@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
http
// ...
.csrf(csrf -> csrf
.csrfTokenRequestHandler(new ServerCsrfTokenRequestAttributeHandler())
)
return http.build();
}@Bean
fun springSecurityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
return http {
// ...
csrf {
csrfTokenRequestHandler = ServerCsrfTokenRequestAttributeHandler()
}
}
}包括 CSRF 令牌
为了使同步器令牌模式防止 CSRF 攻击，我们必须在 HTTP 请求中包含实际的 CSRF 令牌。 它必须包含在浏览器不会自动包含在 HTTP 请求中的请求部分（表单参数、HTTP 标头或其他选项）中。
我们已经看到，Mono<CsrfToken>公开为ServerWebExchange属性。
这意味着任何视图技术都可以访问Mono<CsrfToken>将预期令牌公开为 form 或 meta 标记。
如果您的视图技术没有提供一种简单的方法来订阅Mono<CsrfToken>，一种常见的模式是使用 Spring 的@ControllerAdvice要公开CsrfToken径直。
以下示例将CsrfToken在默认属性名称 （_csrf）被 Spring Security 的 CsrfRequestDataValueProcessor 用于自动包含 CSRF 令牌作为隐藏输入：
CsrfToken如@ModelAttribute-
Java
-
Kotlin
@ControllerAdvice
public class SecurityControllerAdvice {
@ModelAttribute
Mono<CsrfToken> csrfToken(ServerWebExchange exchange) {
Mono<CsrfToken> csrfToken = exchange.getAttribute(CsrfToken.class.getName());
return csrfToken.doOnSuccess(token -> exchange.getAttributes()
.put(CsrfRequestDataValueProcessor.DEFAULT_CSRF_ATTR_NAME, token));
}
}@ControllerAdvice
class SecurityControllerAdvice {
@ModelAttribute
fun csrfToken(exchange: ServerWebExchange): Mono<CsrfToken> {
val csrfToken: Mono<CsrfToken>? = exchange.getAttribute(CsrfToken::class.java.name)
return csrfToken!!.doOnSuccess { token ->
exchange.attributes[CsrfRequestDataValueProcessor.DEFAULT_CSRF_ATTR_NAME] = token
}
}
}幸运的是，Thymeleaf 提供了无需任何额外工作即可工作的集成。
表单 URL 编码
要发布 HTML 表单，CSRF 令牌必须作为隐藏输入包含在表单中。 以下示例显示了呈现的 HTML 可能是什么样子：
<input type="hidden"
name="_csrf"
value="4bfd1575-3ad1-4d21-96c7-4ef2d9f86721"/>接下来，我们讨论将 CSRF 令牌作为隐藏输入包含在表单中的各种方法。
自动包含 CSRF 令牌
Spring Security 的 CSRF 支持提供了与 Spring 的RequestDataValueProcessor通过其CsrfRequestDataValueProcessor.
为CsrfRequestDataValueProcessor要工作，则Mono<CsrfToken>必须订阅，并且CsrfToken必须作为匹配的DEFAULT_CSRF_ATTR_NAME.
幸运的是，Thymeleaf 通过与 集成RequestDataValueProcessor以确保具有不安全 HTTP 方法 （POST） 的表单自动包含实际的 CSRF 令牌。
CsrfToken 请求属性
如果在请求中包含实际 CSRF 令牌的其他选项不起作用，您可以利用Mono<CsrfToken> 公开为ServerWebExchange名为org.springframework.security.web.server.csrf.CsrfToken.
以下 Thymeleaf 示例假定您公开了CsrfToken在名为_csrf:
<form th:action="@{/logout}"
method="post">
<input type="submit"
value="Log out" />
<input type="hidden"
th:name="${_csrf.parameterName}"
th:value="${_csrf.token}"/>
</form>Ajax 和 JSON 请求
如果您使用 JSON，则无法在 HTTP 参数中提交 CSRF 令牌。 相反，您可以在 HTTP 标头中提交令牌。
在以下部分中，我们将讨论在基于 JavaScript 的应用程序中将 CSRF 令牌作为 HTTP 请求标头包含的各种方法。
自动收录
您可以将 Spring Security 配置为将预期的 CSRF 令牌存储在 cookie 中。 通过将预期的 CSRF 存储在 cookie 中，JavaScript 框架（如 AngularJS）会自动在 HTTP 请求标头中包含实际的 CSRF 令牌。
元标记
在 cookie 中公开 CSRF 的另一种模式是将 CSRF 令牌包含在meta标签。
HTML 可能如下所示：
<html>
<head>
<meta name="_csrf" content="4bfd1575-3ad1-4d21-96c7-4ef2d9f86721"/>
<meta name="_csrf_header" content="X-CSRF-TOKEN"/>
<!-- ... -->
</head>
<!-- ... -->一旦 meta 标记包含 CSRF 令牌，JavaScript 代码就可以读取 meta 标记并将 CSRF 令牌作为标头包含在内。 如果您使用 jQuery，则可以使用以下代码读取 meta 标记：
$(function () {
var token = $("meta[name='_csrf']").attr("content");
var header = $("meta[name='_csrf_header']").attr("content");
$(document).ajaxSend(function(e, xhr, options) {
xhr.setRequestHeader(header, token);
});
});以下示例假定您公开了CsrfToken在名为_csrf.
下面的示例使用 Thymeleaf 执行此作：
<html>
<head>
<meta name="_csrf" th:content="${_csrf.token}"/>
<!-- default header name is X-CSRF-TOKEN -->
<meta name="_csrf_header" th:content="${_csrf.headerName}"/>
<!-- ... -->
</head>
<!-- ... -->CSRF 注意事项
在实施针对 CSRF 攻击的保护时，需要考虑一些特殊的注意事项。 本节讨论与 WebFlux 环境相关的这些注意事项。 有关更一般的讨论，请参阅 CSRF 注意事项。
登录
您应该要求对登录请求使用 CSRF，以防止伪造的登录尝试。 Spring Security 的 WebFlux 支持会自动执行此作。
注销
您应该要求对注销请求使用 CSRF，以防止伪造注销尝试。
默认情况下，Spring Security 的LogoutWebFilter仅处理 HTTP POST 请求。
这样可以确保注销需要 CSRF 令牌，并且恶意用户无法强制注销您的用户。
最简单的方法是使用表单注销。 如果你真的想要一个链接，你可以使用 JavaScript 让链接执行 POST（可能在隐藏的表单上）。 对于禁用了 JavaScript 的浏览器，您可以选择让链接将用户带到执行 POST 的注销确认页面。
如果您确实希望将 HTTP GET 与 logout 一起使用，则可以这样做，但请记住，通常不建议这样做。
例如，以下 Java 配置在/logout使用任何 HTTP 方法请求 URL：
-
Java
-
Kotlin
@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
http
// ...
.logout(logout -> logout.requiresLogout(new PathPatternParserServerWebExchangeMatcher("/logout")))
return http.build();
}@Bean
fun springSecurityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
return http {
// ...
logout {
requiresLogout = PathPatternParserServerWebExchangeMatcher("/logout")
}
}
}CSRF 和会话超时
默认情况下，Spring Security 将 CSRF 令牌存储在WebSession.
这种安排可能会导致会话过期的情况，这意味着没有预期的 CSRF 令牌进行验证。
我们已经讨论了会话超时的一般解决方案。 本节讨论与 WebFlux 支持相关的 CSRF 超时的细节。
您可以将预期 CSRF 令牌的存储更改为 cookie 中。 有关详细信息，请参阅 自定义 CsrfTokenRepository 部分。
分段（文件上传）
|
有关在 Spring 中使用多部分形式的更多信息，请参阅 Spring 参考的 Multipart Data 部分。 |
将 CSRF 令牌放在正文中
我们已经讨论了将 CSRF 令牌放入 body 中的权衡。
在 WebFlux 应用程序中，您可以使用以下配置来执行此作：
-
Java
-
Kotlin
@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
http
// ...
.csrf(csrf -> csrf.tokenFromMultipartDataEnabled(true))
return http.build();
}@Bean
fun springSecurityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
return http {
// ...
csrf {
tokenFromMultipartDataEnabled = true
}
}
}在 URL 中包含 CSRF 令牌
我们已经讨论了在 URL 中放置 CSRF 令牌的权衡。
由于CsrfToken公开为ServerHttpRequest request 属性，我们可以使用它来创建一个action其中包含 CSRF 令牌。
Thymeleaf 的示例如下所示：
<form method="post"
th:action="@{/upload(${_csrf.parameterName}=${_csrf.token})}"
enctype="multipart/form-data">隐藏的HttpMethodFilter
我们已经讨论了重写 HTTP 方法。
在 Spring WebFlux 应用程序中，覆盖 HTTP 方法是通过使用HiddenHttpMethodFilter.