ステートレスエンドポイントにSpring SecurityのCSRF機能を使用するにはどうすればいいですか？

私は、ステートレスWebサービスでSpring Securityを使用しています。私はSpring Security 3.2でCSRFの機能を使いたいと思っています。ステートレスウェブアプリで可能ですか？ステートレスエンドポイントにSpring SecurityのCSRF機能を使用するにはどうすればいいですか？

CSRFを当面無効にしなければならなかったので、これは関連するJava Configです。

@Override 
protected void configure(HttpSecurity http) throws Exception { 
    http 
      .sessionManagement() 
       .sessionCreationPolicy(SessionCreationPolicy.STATELESS) 
       .sessionFixation().none().and() 
      .csrf().disable(); 
}

出典

2013-12-16 checketts

がすべてで、Webブラウザ内で使用するWebサービスです参照してください？ –

はい。主に単一ページのWebアプリケーション（AngularJS）で使用されます – checketts

参照：http://blog.jdriven.com/2014/10/stateless-spring-security-part-1-stateless-csrf-protection/ – Dherik

サービスが実際にはステートレスである場合、CSRF保護はまったく意味がないかもしれません。サーバーがCookieを使用してユーザーを識別/認証しない限り、サービスはCSRF攻撃に対して脆弱ではありません。詳しい説明については

、http://sitr.us/2011/08/26/cookies-are-bad-for-you.html

出典

2017-04-17 15:07:26 CrimsonCricket

ステートレスエンドポイントにSpring SecurityのCSRF機能を使用するにはどうすればいいですか？

答えて

関連する問題