无法使用 Spring Security 创建 CSRF 令牌

我在 Spring MVC 应用程序中使用 Spring Security 3.2.3 并得到一些意外的行为。

根据文档在这里，应该可以使用${_csrf.token}在我的 html 的元标记中：

<meta name="_csrf" content="${_csrf.token}" />
<!-- default header name is X-CSRF-TOKEN -->
<meta name="_csrf_header" content="${_csrf.headerName}" />

我使用 JQuery 从中提取“内容”的值，并使用 AJAX 将其放入请求标头中。

但出于某种原因，Spring Security 不会将其“转换”为实际令牌，它只是作为文字字符串“${_csrf.token}”发送到标头中。

尝试使用替代路线${_csrf.token}在根据文档的隐藏输入中，然后我尝试通过检查输入的值来检查令牌的计算结果，但它仍然只是纯文本“${_csrf.token}”。

由于 Spring Security 似乎未生效，我是否缺少某种配置？我目前正在使用准系统 Spring Security Java 配置（而不是 xml），如下所示：

import org.springframework.context.annotation.*;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.*;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
          .csrf();
      }
}

我知道配置被调用，因为我在其中放入了调试语句，所以我假设 CSRF 保护确实已启用，因为它应该是默认的。

我意识到语法“${}”是JSP表达式语言，我目前成功地使用它通过Thymeleaf将上下文评估为对象，例如：

th:object="${context}"

所以我尝试在元标记的“内容”前面添加“th：”，如下所示：

<meta name="_csrf" th:content="${_csrf.token}"/>

但这会导致无法评估的异常：

计算 SpringEL 表达式时出现异常：“_csrf.token”

我认为这里的关键可能是弄清楚如何让表达式在我看来正确评估。

我终于解决了这个问题，但是基本上需要重写Spring Security。它的所有荣耀都在这里。

首先，我遵循了 Eyal Lupu 精彩博客文章中的建议here，但由于我的 AJAX 要求，我必须根据我的情况进行调整。

至于 Thymeleaf 的情况，关键的花絮隐藏在 Thymeleaf 论坛的档案中 - Inknown Issue 7。

https://github.com/thymeleaf/thymeleaf-spring/issues/7#issuecomment-27643488

Thymeleaf 的创建者本人的最后评论是这样的：

th:action...检测何时将此属性应用于 标签——无论如何，这应该是唯一的地方——在这种情况下 来电RequestDataValueProcessor.getExtraHiddenFields(...) 并添加 在结束标记之前返回隐藏字段。

这是我让令牌发挥作用所需的关键短语。不幸的是，原因完全不明显th:action也将拉开序幕getExtraHiddenFields，但无论如何它确实如此，这才是重要的。

因此，对于那些在 Thymeleaf + Spring Security CSRF + AJAX POST 方面苦苦挣扎的人，以下是我的步骤（这大大简化了它，但这些是解决它的高级概念）：

1. 实现 Spring 接口 RequestDataValueProcessor 并将其注册到 Spring Security 的 XML 配置中，以便您可以重写 getExtraHiddenFields 方法，该方法允许您将隐藏输入字段插入到 HTML 中（当然需要使用令牌）。令牌本身是使用 Java.Util UUID 生成的。

2. 使用 JQuery，从该隐藏字段读取值并设置请求标头的“X-CSRF-Token”属性，以便它通过 HTTP 发送。不可能简单地将令牌保留在隐藏输入字段中，因为我们没有执行表单提交，而是使用 AJAX POST 来调用服务器端的方法。

3. 扩展 Spring 的 HandlerInterceptorAdapter 并将其注册为拦截器，以便每次完成 POST 方法时，都会调用服务器端的“preHandle”方法，以便它可以将请求令牌（从上一步中从 HTTP 标头中提取）与请求令牌进行比较会话的令牌（应该相同！）。完成此检查后，它可以允许请求通过或返回错误。