SpringSecurity csrf验证忽略某些请求

最新推荐文章于 2022-12-20 10:19:54 发布
原创 最新推荐文章于 2022-12-20 10:19:54 发布 · 2.2k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文介绍了在SpringSecurity中如何针对特定请求忽略CSRF验证，以解决例如支付宝、微信回调等不携带请求头的情况导致的权限问题。提供了两种解决方案：直接在配置中指定忽略方法，或者使用RequestMatcher进行定制化配置。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

SpringSecurity csrf验证忽略某些请求

           前几天项目中遇到springSecurity问题，研究了大半天，掉进了csrf的坑，先认识一下csrf

CSRF概念：CSRF跨站点请求伪造(Cross—Site Request Forgery)，跟XSS攻击一样，存在巨大的危害性，你可以这样来理解：
       攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作，比如以你的名义发送邮件、发消息，盗取你的账号，添加系统管理员，甚至于购买商品、虚拟货币转账等。 如下：其中Web A为存在CSRF漏洞的网站，Web B为攻击者构建的恶意网站，User C为Web A网站的合法用户。

       CSRF攻击攻击原理及过程如下：

       1. 用户C打开浏览器，访问受信

最低0.47元/天 解锁文章

200万优质内容无限畅学
SpringSecurity6只关闭部分请求CSRF保护的方法
lfl_jeetoon的博客
07-26 627
作者在进行新版的Springboot3.2.5+SpringSecurity6的整合过程中，需要对Jwt的功能进行测试。根据网上的建议，采用token方式进行鉴权的项目，就不要对请求采取csrf保护了。以上写法仅对Springboot3.2.5+SpringSecurity6这个版本有效，其它的版本没测，请读者注意。先说这个做法起不到关闭部分请求保护的作用，而是直接全部关闭了CSRF保护。以下写法是新版本的正确写法，也不知道老外为什么那么喜欢折腾，往往有些功能没有什么本质上的变化，只是写法各有千秋。
SpringSecurity：CSRF攻击
2201_75856701的博客
01-13 563
一些网站比如知乎、简书中的外部链接，点击之后会有提示（免责声明），此操作有风险是否继续，这便与CSRF密切相关。当然这个POST接口无法直接在浏览器中发起请求，我们需要借助PostMan来实现POST请求的发送。那么，问题来了，两个请求都是在登录状态下进行的，为什么GET成功，POST返回403了？防护，这在上一篇及官网中关于SpringBoot自动配置项那里可以看到。建好项目后，创建一个简单的HelloController.java，包含一个。项目中模拟一个按钮操作，发起。，模拟一个钓鱼网站。
SpringSecurity学习（二）忽略静态请求，自定义登陆页面，密码加密
周帅傅
06-09 1256
忽略静态请求 1、 @Override protected void configure(HttpSecurity http) throws Exception { http //指令请求 .authorizeRequests() //满足以下路径的无条件允许访问 .antMatchers("/css/**", "/js/**", "/fonts/**").permitAll()
SpringSecurity忽略某些url，如何配置？
web15085599741的博客
03-29 1011
针对Spring Security框架，对需要忽略某些url，跳过登录逻辑的场景 如，发送验证码之类的，如何配置呢？ 代码如下： import org.springframework.security.config.annotation.web.builders.WebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; public
微服务之间调用部分Feign接口忽略认证授权
枸杞泡茶的博客
01-21 4019
前言 在SpringSecurity框架基础之上实现微服务之间部分接口忽略认证授权. 思路 创建忽略授权注解 获取所有被注解的类或者方法 在SpringSecurity框架中忽略授权 1. 创建忽略授权注解 @Target({ElementType.TYPE,ElementType.METHOD}) @Retention(RetentionPolicy.RUNTIME) @Documented public @interface AuthIgnore { } 2.获取所有...
SpringSecurity学习笔记之四：拦截请求
热门推荐
zhoucheng05_13的博客
03-05 5万+
在任何应用中，并不是所有请求都需要同等程度地保护起来。有些请求需要认证，有些则不需要。 对每个请求进行细粒度安全性控制的关键在于重载configure(HttpSecurity)方法。如下代码片段展现了重载的configure(HttpSecurity)方法，它为不同的URL路径有选择地应用安全性：@Override protected void configure(HttpSecurity ht
基于SpringSecurity的Java用户登录权限验证设计源码
最新发布
10-06
SpringSecurity是一个提供全面安全性解决方案的框架，支持多种安全模式，包括但不限于HTTP请求的认证与授权、方法级别的安全性、会话固定防御和CSRF（跨站请求伪造）防护等。该项目的实现是通过整合SpringSecurity到...
SpringSecurity-springsecurity
09-14
SpringSecurity是一套功能强大且高度可定制的身份验证和访问控制框架，它是Java应用程序中最流行的解决方案之一，专为保护基于Spring的应用而设计。SpringSecurity专注于为Java企业应用提供企业级的安全性。它不仅...
SpringSecurity - 启动流程分析（八）- CsrfFilter 过滤器
业精于勤荒于嬉
08-19 1288
SpringSecurity - 启动流程分析（八）- CsrfFilter 过滤器
spring security 动态不拦截指定请求
liu_xue_xue的专栏
07-15 9481
方法一、简单配置 @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override public void configure(WebSecurity web) throws Exception { //ignore web.ignoring().antMatchers("/info","/css","/html"); }
SpringSecurity
小白的博客
03-23 1817
一、导入依赖： <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> 二、在yml中设置自定义密码： spring: security: u
SpringBoot 2.1.1 + SpringSecurity+jwt 去掉Token验证
程序人生
09-24 6821
SpringBoot 2.1.1+ SpringSecurity+jwt 实现无Token验证 记录一下使用springSecurity实现jwt的授权，并对去掉鉴权认证 工程创建流程 SecurityConfig AuthenticationEntryPointImpl 和 JwtAuthenticationEntryPoint JwtAuthenticationTokenFilter 配置 Security信息 启动类的信息 环境 springBoot 2.1.1 s.
一个注解搞定Spring Security 忽略拦截
小魏的奇妙世界
12-20 5831
一个注解搞定spring-security忽略拦截, 减少开发硬编码配置
Spring Security即将弃用WebSecurityConfigurerAdapter配置类
qq_39652397的博客
02-22 9485
用过WebSecurityConfigurerAdapter的都知道对Spring Security十分重要，总管Spring Security的配置体系。但是马上这个类要废了，你没有看错，这个类将在5.7版本被@Deprecated所标记了，未来这个类将被移除。 对此对此网友大呼“学着学着就被弃用了”。既然马上要弃用了，总要有个过渡方案或者新玩法吧。 早在2021年3月份胖哥就写了一篇文章，把新玩法给明明白白说清楚了，如果你看了的话，肯定不会学废弃技术。这里把整套的替代方案再搞一遍，可别再学过时技
拦截器（只需添上@IgnoreSecurity注解即可不验证tocken）
心比天高的小菜鸟
05-11 6091
package com.amigo.companion.provider.user.interceptor; import java.lang.reflect.Method; import javax.annotation.Resource; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.Htt...
spring security中CSRF中设置不针对某些请求过滤
jackyrongvip的专栏
01-15 1228
在spring security 4中，CSRF默认开启： [code="java"] ... [/code] 但如果某些URL不想加入CSRF，可以使用下面的办法： 实现RequestMatcher.这个接口中的方法，在这里排除某些URL不做CSRF，比如： [code="java"] public class CsrfSecuri...
掌握Spring Security核心安全机制
SpringSecurity还支持多种安全特性，比如CSRF（跨站请求伪造）保护，点击劫持防御，会话固定防御等。它能够和Spring框架的其他部分无缝集成，如Spring MVC、Spring Data、Spring Boot等，使得安全编程更加便捷和高效...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值