Spring SecurityのカスタムCSRFフィルタでmy/loginを無視しない

Question

現在、RESTエンタープライズWebアプリケーションのセキュリティをコーディングしています。最終的にカスタムCSRFフィルタが動作したとき、私は何もPOSTできません/ login私はCSRFトークンが必要です（GETは可能ですが）。まず、トークンを初めて取得してログインに行くPOSTフォームに追加するにはどうすればいいですか？

私はRESTクライアントとしてPostmanを使用しています。トークンを取得できる唯一の方法はまずトークンを取得してPOSTに追加できるようにダミーGETを実行することですこのようにはならない。

私はウェブセキュリティ、csrfに新しく、フロントエンドの開発者でもないので、そこに問題がある可能性があります。

PD：私のセキュリティ：

@Override 
protected void configure(HttpSecurity http) throws Exception { 

    http  
     .addFilterAfter(new CsrfTokenResponseHeaderBindingFilter(), CsrfFilter.class) 
     .authorizeRequests() 
     .antMatchers("/login").permitAll().anyRequest().authenticated(); 

    http 
     .formLogin().loginPage("/login").permitAll().successHandler(authenticationSuccessHandler) 
     .failureHandler(authenticationFailureHandler) 
     .and() 
     .rememberMe().rememberMeParameter("remember-me").tokenValiditySeconds(2000) 
     .and() 
     .exceptionHandling().authenticationEntryPoint(authenticationEntryPoint) 
     .and() 
     .sessionManagement().maximumSessions(1); 

} 

はまた、この1を試してみましたが、ダメ：

@Override 
public void configure(WebSecurity webSecurity) throws Exception 
{ 
    webSecurity 
     .ignoring().antMatchers("/login").anyRequest(); 

} 

私は、作者へのクレジットをこのカスタムフィルタを使用していないよ：https://github.com/aditzel/spring-security-csrf-filter

PD2：十分に明確でない場合は、最初にダミーを取得せずにPOSTを使用してログインしたいと思います。私はコード問題か概念（セキュリティ関連）問題かどうかは分かりません。

Answer 1

認証とCSRFの設定は、ブラウザベースのWebアプリケーションに適しています。ここでは、GETリクエストで「ログイン」ページを読み込んで資格情報を送信します。このため、GET要求を呼び出した後にトークンを確認することができます。

セッションベースのCSRF保護を維持する場合は、最初のGET要求を含むCSRFトークンを取得し、後続の要求とと​​もに使用する必要があります。ここで

は、多少の関連スレッドである - How to prevent CSRF in a RESTful application?