SpringSecurity csrf验证忽略某些请求

最新推荐文章于 2025-02-28 10:49:13 发布
最新推荐文章于 2025-02-28 10:49:13 发布
阅读量2.2k 收藏 2
点赞数 1
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/zangjunlang4288/article/details/88405686
本文介绍了在SpringSecurity中如何针对特定请求忽略CSRF验证，以解决例如支付宝、微信回调等不携带请求头的情况导致的权限问题。提供了两种解决方案：直接在配置中指定忽略方法，或者使用RequestMatcher进行定制化配置。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

SpringSecurity csrf验证忽略某些请求

           前几天项目中遇到springSecurity问题，研究了大半天，掉进了csrf的坑，先认识一下csrf

CSRF概念：CSRF跨站点请求伪造(Cross—Site Request Forgery)，跟XSS攻击一样，存在巨大的危害性，你可以这样来理解：
       攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。 如下：其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。

       CSRF攻击攻击原理及过程如下：

       1. 用户C打开浏览器，访问受信

最低0.47元/天 解锁文章

200万优质内容无限畅学
Spring Security 6.x 系列【21】漏洞防护篇之跨站请求伪造
记录知识、锤炼自我
07-12 8193
除了认证授权外功能外，还提供了安全防护功能，比如跨站点请求伪造 (CSRF跨站请求伪造，通常缩写为CSRF或者XSRF。简单来说就是攻击者通过一些技术手段，欺骗用户的浏览器去访问一个自己曾经认证过的网站，并运行一些操作，比如发消息、转账、购买商品等。
SpringSecurity学习（二）忽略静态请求，自定义登陆页面，密码加密
周帅傅
06-09 1256
忽略静态请求 1、 @Override protected void configure(HttpSecurity http) throws Exception { http //指令请求 .authorizeRequests() //满足以下路径的无条件允许访问 .antMatchers("/css/**", "/js/**", "/fonts/**").permitAll()
SpringSecurity忽略某些url，如何配置？
web15085599741的博客
03-29 1011
针对Spring Security框架，对需要忽略某些url，跳过登录逻辑的场景 如，发送验证码之类的，如何配置呢？ 代码如下： import org.springframework.security.config.annotation.web.builders.WebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; public
微服务之间调用部分Feign接口忽略认证授权
枸杞泡茶的博客
01-21 4019
前言 在SpringSecurity框架基础之上实现微服务之间部分接口忽略认证授权. 思路 创建忽略授权注解 获取所有被注解的类或者方法 在SpringSecurity框架中忽略授权 1. 创建忽略授权注解 @Target({ElementType.TYPE,ElementType.METHOD}) @Retention(RetentionPolicy.RUNTIME) @Documented public @interface AuthIgnore { } 2.获取所有...
SpringSecurity学习笔记之四：拦截请求
热门推荐
zhoucheng05_13的博客
03-05 5万+
在任何应用中，并不是所有请求都需要同等程度地保护起来。有些请求需要认证，有些则不需要。 对每个请求进行细粒度安全性控制的关键在于重载configure(HttpSecurity)方法。如下代码片段展现了重载的configure(HttpSecurity)方法，它为不同的URL路径有选择地应用安全性：@Override protected void configure(HttpSecurity ht
SpringSecurity - 启动流程分析（八）- CsrfFilter 过滤器
业精于勤荒于嬉
08-19 1288
SpringSecurity - 启动流程分析（八）- CsrfFilter 过滤器
spring security 动态不拦截指定请求
liu_xue_xue的专栏
07-15 9481
方法一、简单配置 @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override public void configure(WebSecurity web) throws Exception { //ignore web.ignoring().antMatchers("/info","/css","/html"); }
SpringSecurity
小白的博客
03-23 1817
一、导入依赖： <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> 二、在yml中设置自定义密码： spring: security: u
SpringBoot 2.1.1 + SpringSecurity+jwt 去掉Token验证
程序人生
09-24 6822
SpringBoot 2.1.1+ SpringSecurity+jwt 实现无Token验证 记录一下使用springSecurity实现jwt的授权，并对去掉鉴权认证 工程创建流程 SecurityConfig AuthenticationEntryPointImpl 和 JwtAuthenticationEntryPoint JwtAuthenticationTokenFilter 配置 Security信息 启动类的信息 环境 springBoot 2.1.1 s.
一个注解搞定Spring Security 忽略拦截
小魏的奇妙世界
12-20 5832
一个注解搞定spring-security忽略拦截, 减少开发硬编码配置
Spring Security即将弃用WebSecurityConfigurerAdapter配置类
qq_39652397的博客
02-22 9485
用过WebSecurityConfigurerAdapter的都知道对Spring Security十分重要，总管Spring Security的配置体系。但是马上这个类要废了，你没有看错，这个类将在5.7版本被@Deprecated所标记了，未来这个类将被移除。 对此对此网友大呼“学着学着就被弃用了”。既然马上要弃用了，总要有个过渡方案或者新玩法吧。 早在2021年3月份胖哥就写了一篇文章，把新玩法给明明白白说清楚了，如果你看了的话，肯定不会学废弃技术。这里把整套的替代方案再搞一遍，可别再学过时技
Spring Security 如何防止 CSRF 攻击？
最新发布
C_V_Better的博客
02-28 1266
CSRF（Cross-Site Request Forgery）攻击，即跨站请求伪造攻击，是一种利用用户已登录的身份，在用户不知情的情况下，强制其执行非预期操作的攻击方式。攻击者通常会通过伪造的请求，诱使用户在已登录的应用程序中执行恶意操作，例如转账、修改个人信息等。开启或关闭 CSRF 保护：可以通过配置来开启或关闭 CSRF 保护。例如，在基于 Java 配置的项目中，可以通过以下代码关闭 CSRF 保护：http.csrf().disable();自定义 CSRF 令牌存储方式。
springboot + security 自定义csrf校验结果
mushuntaosama的博客
12-26 6030
查看csrfFilter源码，会先去HttpSessionCsrfTokenRepository.loadToken加载CsrfToken ，其实就是从session中获取。public CsrfToken loadToken(HttpServletRequest request) { HttpSession session = request.getSession(false);
SpringSecurity的权限校验详解说明(附完整代码)
qq_51076413的博客
02-19 4069
SpringSecurity安全检验、SpringSecurity权限认证、SpringSecurity权限校验、SpringSecurity自定义校验、SpringSecurity自定义校验规则、SpringSecurity异常处理器
拦截器（只需添上@IgnoreSecurity注解即可不验证tocken）
心比天高的小菜鸟
05-11 6091
package com.amigo.companion.provider.user.interceptor; import java.lang.reflect.Method; import javax.annotation.Resource; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.Htt...
spring security中CSRF中设置不针对某些请求过滤
jackyrongvip的专栏
01-15 1228
在spring security 4中，CSRF默认开启： [code="java"] ... [/code] 但如果某些URL不想加入CSRF，可以使用下面的办法： 实现RequestMatcher.这个接口中的方法，在这里排除某些URL不做CSRF，比如： [code="java"] public class CsrfSecuri...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值