Исправление CSRF в приложении Spring / React - PullRequest
Новая
       19

Исправление CSRF в приложении Spring / React

0 голосов
/ 24 января 2020

У меня есть бэкэнд Spring MVC, который предоставляет REST API, который используется интерфейсом React. Мое приложение помечено для CSRF. Я использую механизм предварительной проверки подлинности для защиты моего REST API. Вот что у меня есть в моей конфигурации безопасности: 

<security:http use-expressions="true" auto-config="false" entry-point-ref="http403EntryPoint">
        <security:custom-filter position="PRE_AUTH_FILTER" ref="siteminderFilter" />
</security:http>

Я также попытался вручную включить CSRF: 

<security:http use-expressions="true" auto-config="false" entry-point-ref="http403EntryPoint">
        <security:custom-filter position="PRE_AUTH_FILTER" ref="siteminderFilter" />
        <security:csrf token-repository-ref="tokenRepository"/>
</security:http>

<bean id="tokenRepository" class="org.springframework.security.web.csrf.CookieCsrfTokenRepository">
    <property name="cookieHttpOnly" value="false"/>
    <property name="headerName" value="X-CSRF-TOKEN"/>
</bean>

Я знаю, что здесь что-то не хватает. Нужна ли какая-либо другая конфигурация на стороне сервера? Буду признателен за любые отзывы об изменениях, необходимых для React.

...