Spring генерирует токен CSRF для каждого запроса, а не для каждого сеанса, который нужно генерировать для каждого сеанса - PullRequest
Новая
       29

Spring генерирует токен CSRF для каждого запроса, а не для каждого сеанса, который нужно генерировать для каждого сеанса

0 голосов
/ 24 апреля 2019

Я использую Spring Security для генерации токена CSRF и отправки его клиенту в Cookie.В настоящее время токен меняется после каждого запроса, но я хочу, чтобы Spring генерировал один токен для всего сеанса.Я не уверен, если это из-за моего кода.Вот мой код: 

protected static class SecurityConfiguration extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .httpBasic().and()
      .authorizeRequests()
        .antMatchers("/**").permitAll().and().
         .csrf().csrfTokenRepository(csrfTokenRepository()).and()
      .addFilterAfter(new CsrfHeaderFilter(), CsrfFilter.class);
  }

private CsrfTokenRepository csrfTokenRepository() {
  HttpSessionCsrfTokenRepository repository = new HttpSessionCsrfTokenRepository();
  repository.setHeaderName("X-XSRF-TOKEN");
  return repository;
}
}

Это мой фильтр: 

public class CsrfHeaderFilter extends OncePerRequestFilter {
  @Override
  protected void doFilterInternal(HttpServletRequest request,
      HttpServletResponse response, FilterChain filterChain)
      throws ServletException, IOException {
    CsrfToken csrf = (CsrfToken) request.getAttribute(CsrfToken.class
        .getName());
    if (csrf != null) {
      Cookie cookie = WebUtils.getCookie(request, "XSRF-TOKEN");
      String token = csrf.getToken();
      if (cookie==null || token!=null && !token.equals(cookie.getValue())) {
        cookie = new Cookie("XSRF-TOKEN", token);
        cookie.setPath("/");
        response.addCookie(cookie);
      }
    }
    filterChain.doFilter(request, response);
  }
}
...