spring-cloud：CSRFを無効にする

Question

http.csrf().disable()を使用してエッジ/ ZuulでCSRFを無効にしようとしました。 しかし、csrfFilterはフィルタチェーン@ position 4で利用できます。 私はさらにプロパティーを設定しましたspring.enableCsrf: false。それでもcsrfFilterが起動し、私のajaxリクエストは403エラーになります。

Zuulと外部OAuthサーバー（UAA）でCSRFを無効にするにはどうすればよいですか？

Answer 1

Configure CSRF Protection いくつかのフレームワークは、ユーザーのセッションをinvalidingにより無効CSRFトークンを扱うが、これは、独自の問題が発生します。代わりに、デフォルトでSpring SecurityのCSRF保護によって、HTTP 403アクセスが拒否されます。これは、InvalidCsrfTokenExceptionを異なる方法で処理するようにAccessDeniedHandlerを構成することによってカスタマイズできます。

Spring Security 4.0以降、CSRF保護はXML構成でデフォルトで有効になっています。 CSRF保護を無効にする場合は、対応するXML設定を以下に示します。

<http> 
    <!-- ... --> 
    <csrf disabled="true"/> 
</http> 

CSRF保護は、Java Configurationでデフォルトで有効になっています。 CSRFを無効にしたい場合は、対応するJava構成を以下に示します。 CSRF保護がどのように構成されているかについての追加のカスタマイズについては、csrf（）のJavadocを参照してください。

@EnableWebSecurity 
public class WebSecurityConfig extends 
WebSecurityConfigurerAdapter { 

@Override 
protected void configure(HttpSecurity http) throws Exception { 
    http 
    .csrf().disable(); 
} 
}