जावा कॉन्फ़िगर के साथ स्प्रिंग-सिक्योरिटी में, httpBasic POST सीएसआरएफ टोकन क्यों चाहता है?

Question

मैं जावा कॉन्फ़िगरेशन के साथ स्प्रिंग-सुरक्षा 3.2.0.RC2 का उपयोग कर रहा हूं। मैंने एक सरल HttpSecurity कॉन्फ़िगरेशन स्थापित किया है जो मूल vuth/v1/** पर पूछता है। प्राप्त अनुरोधों काम करते हैं लेकिन पोस्ट अनुरोध के साथ विफल:

HTTP Status 403 - Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'. 

मेरे सुरक्षा config इस तरह दिखता है:

@Configuration 
@EnableWebSecurity 
public class SecurityConfig extends WebSecurityConfigurerAdapter { 

@Resource 
private MyUserDetailsService userDetailsService; 

@Autowired 
//public void configureGlobal(AuthenticationManagerBuilder auth) 
public void configure(AuthenticationManagerBuilder auth) 
     throws Exception { 
    StandardPasswordEncoder encoder = new StandardPasswordEncoder(); 
    auth.userDetailsService(userDetailsService).passwordEncoder(encoder); 
} 

@Configuration 
@Order(1) 
public static class RestSecurityConfig 
     extends WebSecurityConfigurerAdapter { 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
      .antMatcher("/v1/**").authorizeRequests() 
       .antMatchers("/v1/**").authenticated() 
      .and().httpBasic(); 
    } 
} 

} 

किसी भी मदद के लिए इस पर बहुत सराहना।

Answer 1

CSRF जावा कॉन्फ़िगरेशन के साथ डिफ़ॉल्ट रूप से सुरक्षा सक्षम है। उसे निष्क्रिय करने के लिए:

@Configuration 
public class RestSecurityConfig extends WebSecurityConfigurerAdapter { 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
      .csrf().disable() 
      ...; 
    } 
} 

Answer 2

तुम भी CSRF जांच केवल कुछ अनुरोध या तरीकों पर, निष्क्रिय http वस्तु के लिए नीचे दिए कॉन्फ़िगरेशन जैसा का उपयोग कर सकते हैं:

http 
    .csrf().requireCsrfProtectionMatcher(new RequestMatcher() { 

    private Pattern allowedMethods = 
     Pattern.compile("^(GET|HEAD|TRACE|OPTIONS)$"); 

    private RegexRequestMatcher apiMatcher = 
     new RegexRequestMatcher("/v[0-9]*/.*", null); 

    @Override 
    public boolean matches(HttpServletRequest request) { 
     // CSRF disabled on allowedMethod 
     if(allowedMethods.matcher(request.getMethod()).matches()) 
      return false; 

     // CSRF disabled on api calls 
     if(apiMatcher.matches(request)) 
      return false; 

     // CSRF enables for other requests 
     return true; 
    } 
}); 

आप यहाँ अधिक देख सकते हैं :

http://blog.netgloo.com/2014/09/28/spring-boot-enable-the-csrf-check-selectively-only-for-some-requests/