Spring Rest Service - Ungültiges CSRF-Token beim Anmelden

Question

Ich habe einen Spring MVC REST-Service mit Spring Security (3.2.5.RELEASE) aktiviert. Wenn ich @EnableWebMvcSecurity einschalte, wird automatisch ein Login-Formular für mich unter http://localhost:8080/login generiert. Wenn ich dieses Formular für die Anmeldung verwende, funktioniert alles einwandfrei.

Das Problem tritt auf, wenn ich versuche, mich durch Senden einer POST-Anfrage direkt anzumelden. In meiner Postanfrage stelle ich den Benutzernamen und das Passwort zur Verfügung. Ich schließe auch den HTTP-Header 'X-CSRF-TOKEN' mit ein und für den Header-Wert verwende ich die JSESSIONID, die ich in einem Cookie erzeugt habe. Aber wenn ich diese POST-Anfrage sende, bekomme ich das folgende Ergebnis zurück:

HTTP Status 403 - Invalid CSRF Token '29F5E49EFE8D758D4903C0491D56433E' 
was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'. 

Was mache ich falsch? Gebe ich den falschen Token-Wert? Was ist das für JSESSIONID? Wenn ich für diesen Header keinen Wert eingeben oder den Header alle zusammen weglassen, sagt er mir "Null CSRF-Token gefunden".

Unten ist mein Spring Security-Konfiguration:

@Configuration 
@EnableWebMvcSecurity 
public class SecurityConfig extends WebSecurityConfigurerAdapter { 

    @Autowired 
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception { 
     auth.inMemoryAuthentication() 
      .withUser("user").password("password").roles("USER"); 
    } 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
      .authorizeRequests() 
       .antMatchers("/secure/**").authenticated() 
       .and() 
      .formLogin() 
       .usernameParameter("username") 
       .passwordParameter("password")   
       .and() 
      .logout() 
       .and() 
      .httpBasic() 
       .and() 
      .csrf(); 
    } 
} 

ich wirklich jede Hilfe dankbar würde! Danke im Voraus!

Answer 1

Sie müssen das Token csrf senden, wenn Sie das Anmeldeformular absenden. Bitte fügen Sie die folgende Zeile in dem HTML-Formular:

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/> 

Answer 2

Sie <meta name="_csrf" content="${_csrf.token}"/> benötigen, https://spring.io/blog/2013/08/21/spring-security-3-2-0-rc1-highlights-csrf-protection/#ajax-requests

oder wenn Sie mit thymeleaf <meta name="_csrf" th:content="${_csrf.token}" />

Answer 3

(1) Fügen Sie die CSRF-Token in alle Ihrem AJAX Anfragen.

$(function() { 
    var token = $('#logoutform>input').val(); 
    var header = $('#logoutform>input').attr('name'); 
    $(document).ajaxSend(function(e, xhr, options) { 
     xhr.setRequestHeader('X-CSRF-TOKEN', token); 
    }); 
}); 

(2) Einfache Anfrage.

<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>