Spring Boot REST API - 按客户端类型（浏览器/非浏览器）启用/禁用 CSRF 保护？

Question

我有一个 Spring Boot REST API。由于安全策略的原因，我需要为浏览器访问的端点启用 CSRF 保护。但是，非浏览器也可以访问此 API。有没有办法创建两组端点，一组只能在启用 CSRF 的情况下由浏览器访问，另一组只能在禁用 CSRF 的情况下由非浏览器访问？

Answer 1

当您使用 DSL 配置 CSRF 保护时，例如 http.csrf()...，您可以通过传递 RequestMatcher 来判断您希望应用 CSRF 保护的请求>，就像这样：

http.csrf(csrf -> csrf.requireCsrfProtectionMatcher(new MyBrowserRequestMatcher()));

您的 RequestMatcher 实现可以验证 HttpServletRequest 是否包含标头 X-Requested-With: XMLHttpRequest 或检查用户代理。

请记住，标头可以更改，并且您不能保证请求实际上来自浏览器或非浏览器应用程序。

Answer 2

我认为您可以为浏览器请求和 API 请求使用单独的 URL 库。

例如，您可以在 /api/... 下和 SpringBootSecurityConfiguration 类中拥有非浏览器要查询的所有端点，并 configure( HttpSecurity http) 方法，如果模式匹配，您可以使用 http.csrf().disable(); 有条件地禁用 CSRF（可以找到很棒的教程 这里）

编辑：这里是另一个答案可能有用。

Answer 3

正如 @ferrouskid 所说，我创建了两个 URL，一个用于浏览器，另一个用于非浏览器：

在 spring 安全配置中：

@Override
protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    http.csrf().ignoringAntMatchers("/withoutCsrf/**")
            .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
            .and()
            .cors().disable();
//complete your configuration }

在控制器中：

@Controller
@RequestMapping({"books","withoutCsrf/books"})
public class BookController {}

Answer 4

由于依赖请求头可能无法准确识别请求来源，因此创建单独的服务 url，一个用于浏览器客户端，一个用于非浏览器客户端，并对非浏览器服务禁用 CSRF 保护也可以考虑作为一种解决方案。

创建 SecurityFilterChain 时可以禁用特定 URL 的 CSRF 保护。

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    httpSecurity.csrf((csrf) -> csrf.ignoringRequestMatchers("/trade/item/nxtitems", "/trade/item/**")).build();
}