Spring Security 如何防止 CSRF 攻击？

- [一、CSRF 攻击简介](#一、CSRF 攻击简介)
- [二、Spring Security 防止 CSRF 攻击的机制](#二、Spring Security 防止 CSRF 攻击的机制)
- - [1. 默认启用 CSRF 保护](#1. 默认启用 CSRF 保护)
  - [2. CSRF 令牌的生成与验证](#2. CSRF 令牌的生成与验证)
  - [3. 配置与自定义](#3. 配置与自定义)
  - [4. 在请求中包含 CSRF 令牌](#4. 在请求中包含 CSRF 令牌)
- 三、最佳实践
- 四、总结

一、CSRF 攻击简介

CSRF（Cross-Site Request Forgery）攻击，即跨站请求伪造攻击，是一种利用用户已登录的身份，在用户不知情的情况下，强制其执行非预期操作的攻击方式。攻击者通常会通过伪造的请求，诱使用户在已登录的应用程序中执行恶意操作，例如转账、修改个人信息等。

二、Spring Security 防止 CSRF 攻击的机制

1. 默认启用 CSRF 保护

从 Spring Security 4.0 开始，默认情况下会启用 CSRF 保护。这意味着对于 PATCH、POST、PUT 和 DELETE 方法的请求，Spring Security 会自动进行 CSRF 验证。

2. CSRF 令牌的生成与验证

Spring Security 通过生成唯一的 CSRF 令牌（Token）来防止 CSRF 攻击。具体流程如下：

生成 CSRF 令牌：服务器在处理请求时，会生成一个唯一的 CSRF 令牌，并将其存储在用户的会话（HttpSession）或 Cookie 中。
客户端提交 CSRF 令牌：客户端在提交表单或发送 AJAX 请求时，需要将 CSRF 令牌包含在请求中。通常，这个令牌会作为表单的一个隐藏字段或请求头的一部分发送。
服务器验证 CSRF 令牌：服务器在接收到请求后，会从请求中提取 CSRF 令牌，并与存储在会话或 Cookie 中的令牌进行比较。如果两者一致，则认为请求是合法的；如果不一致，则认为是 CSRF 攻击，服务器会拒绝该请求。

3. 配置与自定义

开启或关闭 CSRF 保护 ：可以通过配置来开启或关闭 CSRF 保护。例如，在基于 Java 配置的项目中，可以通过以下代码关闭 CSRF 保护：
java 复制代码
```
http.csrf().disable();
```
或者在基于 XML 配置的项目中，使用以下代码：
xml 复制代码
```
<security:csrf disabled="true"/>
```
自定义 CSRF 令牌存储方式 ：Spring Security 提供了 CsrfTokenRepository 接口，开发者可以实现该接口来自定义 CSRF 令牌的存储和获取方式。默认实现是 HttpSessionCsrfTokenRepository，它将 CSRF 令牌存储在 HttpSession 中。

4. 在请求中包含 CSRF 令牌

表单提交 ：在 HTML 表单中，可以通过 Thymeleaf 等模板引擎自动包含 CSRF 令牌。例如：

html 复制代码

<form action="/submit" method="POST">
    <input type="hidden" name="_csrf" value="${_csrf.token}" />
    <button type="submit">Submit</button>
</form>

AJAX 请求 ：在使用 AJAX 提交请求时，需要手动将 CSRF 令牌添加到请求头中。例如，使用 jQuery 时可以这样操作：

javascript 复制代码

$.ajax({
    url: '/submit',
    type: 'POST',
    headers: {
        'X-CSRF-TOKEN': $('meta[name="_csrf"]').attr('content')
    },
    data: {
        // Your data here
    },
    success: function(response) {
        console.log(response);
    },
    error: function(xhr, status, error) {
        console.error('Error:', error);
    }
});

在 HTML 中，需要包含 CSRF 令牌的 meta 标签：