春季安全403与禁用CSRF

Question

使用Spring Security，我研究了类似的问题，但他们说尝试禁用CORS＆amp; CSRF。

我在浏览器上使用它，因此我需要CSRF。但是，仅仅进行测试并不会改变结果。

在登录时，我将获得访问令牌和刷新令牌。

使用此令牌可为我提供403禁止响应代码。

的配置如下：

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and().csrf().disable();
http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        http.authorizeRequests().antMatchers("/login").permitAll();
        http.authorizeRequests().antMatchers(GET, "/**").hasAnyAuthority("STUDENT");
        http.authorizeRequests().anyRequest().authenticated();
        http.addFilter(new CustomAuthenticationFilter(authenticationManagerBean()));
        http.addFilterBefore(new CustomAuthorizationFilter(), UsernamePasswordAuthenticationFilter.class);
    }

我认为可能与此过滤器有关

public class CustomAuthorizationFilter extends OncePerRequestFilter { // INTERCEPTS EVERY REQUEST
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        if(request.getServletPath().equals("/login")){ filterChain.doFilter(request,response); } // DO NOTHING IF LOGGING IN
        else{
            String authorizationHeader = request.getHeader(AUTHORIZATION);
            if(authorizationHeader != null && authorizationHeader.startsWith("Bearer ")){
                try {
                    String token = authorizationHeader.substring("Bearer ".length()); // TAKES TOKEN STRING AND REMOVES BEARER
                    // THIS NEEDS MAKING SECURE AND ENCRYPTED vvvvvvv
                    Algorithm algorithm = Algorithm.HMAC256("secret".getBytes()); // <<<<<<<<<<<<<<<<<<<<<<<
                    JWTVerifier verifier = JWT.require(algorithm).build(); // USING AUTH0
                    DecodedJWT decodedJWT = verifier.verify(token);
                    String email = decodedJWT.getSubject(); // GETS EMAIL
                    String[] roles = decodedJWT.getClaim("roles").asArray(String.class); // GETS ROLES
                    Collection<SimpleGrantedAuthority> authorities = new ArrayList<>();
                    stream(roles).forEach(role -> {  authorities.add(new SimpleGrantedAuthority(role)); }); // CONVERTS ALL USERS ROLE INTO AN AUTHORITY
                    UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken(email, null); // PASSWORD IS NULL AT THIS POINT
                    SecurityContextHolder.getContext().setAuthentication(authToken); // INSERTS TOKEN INTO CONTEXT // THIS SHOWS AUTHENTICATED FALSE, DETIALS FALSE AND GRANTED AUTHORITIES EMPTY
                    filterChain.doFilter(request, response); // GETS TO THIS LINE HERE
                }
                catch (Exception e){
                    response.setHeader("error" , e.getMessage() );
                    response.setStatus(FORBIDDEN.value());
                    Map<String, String> error = new HashMap<>();
                    error.put("error_message", e.getMessage());
                    response.setContentType(APPLICATION_JSON_VALUE);

                    new ObjectMapper().writeValue(response.getOutputStream(), error); // THEN SKIPS RIGHT TO THIS LINE HERE EVEN IF BREAKPOINTING BEFORE
                }
            }
            else{ filterChain.doFilter(request, response); }
        }
    }
}

我 hits filterchain.dofilter（请求，响应）然后直接跳到异常捕获 objectmapper 行line

用户提交也是学生角色。

Answer 1

这线
userNamePasswordAuthenticationToken authtoken = new UserNamePasswordAuthenticationToken（电子邮件，null）;

缺少当局：

usernamepasswordauthentication authtoken = new Usernamepasswordwordwordwordwordwordword authentication thord authentication thorgetication（电子邮件，null，null，oterities）

Answer 2

希望我的答案能有所帮助，
您可以将断点置于该行更改响应状态，然后检查它返回403的原因以及为什么它可以帮助您获得解决方案

1. 在线路上丢下断点设置403状态，以查看从stackframes中发生的。

猜猜它可以返回403没有其他信息，但是必须将状态设置为响应，对吗？因此，将断点放在SetStatus方法中，我不知道它应该在tomcat lib，spring lib或servlet lib中定位。检查httpresponse，它们是多个实现，为那些setstatus/setCode方法设置了断点。 （接下来，您可以在httpresponsewrapper :: setstatus上accat acut ocation thit IT）

1. 分析stackframes以查看那里发生了什么

请检查