Frühling ordnungsgemäßes Herunterfahren - Request-Methode POST NOT SUPPORTED

Question

Ich versuche, den Frühling endpoints zu verwenden anmutig meine Anwendung herunterzufahren, aber ich erhalte eine Fehlermeldung:

2016-08-09 13:46:54.606 WARN 13315 --- [nio-8090-exec-6] .w.s.m.s.DefaultHandlerExceptionResolver : Handler execution resulted in exception: Request method 'POST' not supported 

Ich verwende this Führer und ich habe meine application.properties auf endpoints.shutdown.enabled=true und auch endpoints.shutdown.sensitive=false eingestellt. Ich habe auch compile("org.springframework.boot:spring-boot-starter-actuator") in meinem Build.gradle enthalten.

Wenn ich die CURL Anfrage senden: curl -X POST https://localhost:8090/shutdown -k
ich die folgende Antwort vom Server erhalten:

{"timestamp":1470747537792,"status":405,"error":"Method Not Allowed","exception":"org.springframework.web.HttpRequestMethodNotSupportedException","message":"Request method 'POST' not supported","path":"/shutdown"} 

Bin ich etwas falsch gemacht? Gibt es etwas, das ich vermisse? Ich habe CSRF in der ganzen App aktiviert, also ist es keine Option, das für meine Anwendung zu deaktivieren.

Answer 1

Wie von David vorgeschlagen, wird CSRF benötigt, da es global für alle POST Anfragen von Spring benötigt wird. Der einzige Weg, wie ich daran denken könnte, ihn zu umgehen, besteht darin, den CSRF für den /shutdown Endpunkt zu deaktivieren.

In meinem SecurityConfig I gesetzt:

http.csrf().ignoringAntMatchers("/shutdown"); 

Dies würde nur für die /shutdown url während es aktiv zu halten für den Rest der Anwendung des csrf Schutz deaktivieren.

Hinweis: Diese Einrichtung wurde im Frühjahr 4 hinzugefügt.

Answer 2

Sie müssen ein CSRF-Token entweder als Header oder Parameter oder etwas senden. Ihr Beispiel:

curl -X POST https://localhost:8090/shutdown -k 

enthält kein CSRF-Token, daher wird Spring es natürlich ablehnen. Das ist in der Tat der springende Punkt des CSRF-Filters. Sie müssen entscheiden, ob es angemessen ist, die /shutdown URI von diesem Filter auszuschließen oder ob ein Token/Nonce benötigt wird.