Spring Boot CSRF

Question

最新のSpring BootでCSRF保護を実装しようとしました。 インターネット上のすべての例は、私が必要としないユーザーのログインと認証に基づいています。

私のサイトには認証が必要なセクションはありません。 （にもかかわらず、私は必要ありません）

application.propertiesに定義されたユーザ - - アプリケーションは_csrf.tokenを作成 私は

1) Rest requests come from within site. No direct request from outside with wget to be allowed.

2) All pages (routes) must be requested from the index page (/)

がpom.xml

<dependency> 
<groupId>org.springframework.boot</groupId> 
<artifactId>spring-boot-starter-security</artifactId> 
</dependency> 

におけるセキュリティの依存関係を含またいです。

- 「configure」メソッドオーバーライドを使用してWebSecurityConfigurerAdapterを拡張して作成されたクラス。

"configure"ですべてのフィルタを試しました。それは動作しませんでしたし、最終的にそれを空白のままにした

問題は、Wgetがapiページを直接取得できることです。 それを防ぐには？

Answer 1

私はすぐに一緒にこの構成のPOCを入れている：

@Configuration 
@EnableWebSecurity 
@SpringBootApplication 
public class StackoverflowQ40929943Application extends WebSecurityConfigurerAdapter{ 

    public static void main(String[] args) { 
     SpringApplication.run(StackoverflowQ40929943Application.class, args); 
    } 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
       .authorizeRequests() 
        .antMatchers("/**").permitAll(); 
    } 

} 

その要旨を春ブーツ+セキュリティが自動的にすべてのエンドポイントを確保しますです。ここでは、すべてのエンドポイントに要求を明示的に許可します。しかし、Spring Boot + Securityは、有効にしておいたままの状態で、自動的にCSRFを設定します。したがって、あなたは両方の世界のベストを得ます。

注記：必要に応じて、この設定をさらに詳細化する必要があります。

Full Example on GitHub