Spring Security 与 thymeleaf 和 ajax 调用

Question

我使用弹簧启动与弹簧安全性，

@Override
public void configure(HttpSecurity httpSecurity) throws Exception {
    httpSecurity.authorizeRequests()
            .antMatchers(
                    "/",
                    "/email",
                    "/starter**",
                    "/forgetpassword**",
                    "/resetpassword**",
                    "/register**",
                    "/register/**",
                    "/css/**",
                    "/js/**",
                    "/img/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin().loginPage("/login").permitAll()
            .successHandler(customAuthenticationSuccessHandler)
            .and()
            .logout();

}

我想进行ajax调用以保存信息

@PostMapping("/book")
public ResponseEntity generateBook(@RequestBody Book book){

}

，我尝试了此信息，但是我得到了一个403，

$.ajax({
    url : 'http://localhost:8080/book',
    type : 'post',
    contentType: 'application/json',
    dataType: "json",
    headers:{
        '_csrf' : '[[${_csrf.token}]]',
        '_csrf_header' : '[[${_csrf.headerName}]]'
    },
    data : '....',
    success : function(response) {
        debugger;
        ...
    }
});

我启用了spring Security Log，用该

logging.level.org.springframework.security=DEBUG

编辑

我得到了这个

为http：// localhost找到的无效CSRF令牌：8080/book
响应403状态代码

我只是不明白为什么？

令牌的值是由服务器

编辑2

方案生成的，这是

用户日志到系统，当他单击“生成书本启动”时，他将带有按钮到达页面。

生成图书失败，如果用户尝试更改其密码，我会看到与由csrf代币相同的值

[[${_csrf.token}]]

Answer 1

将这些行添加到头标签中：

<meta id="_csrf" name="_csrf" th:content="${_csrf.token}"/>
<meta id="_csrf_header" name="_csrf_header" th:content="${_csrf.headerName}"/>

和Ajax请求：

var token = $("meta[name='_csrf']").attr("content");
var header = $("meta[name='_csrf_header']").attr("content");
//Add beforeSend to the ajax call, like:
$.ajax({
       type: ‘POST’,
       url: url,
       beforeSend: function(request) {
           request.setRequestHeader(header, token);
       },
       data: data
});