Недопустимый токен CSRF 'null' был найден в параметре запроса '_csrf' или заголовке 'X-CSRF-TOKEN'

Question

Недопустимый токен CSRF 'null' был найден в параметре запроса '_csrf' или заголовке 'X-CSRF-TOKEN'

После настройки Spring Security 3.2, _csrf.token не привязан к запросу или объекту сеанса.

Это весенний конфигурационный файл безопасности:

<http pattern="/login.jsp" security="none"/>

<http>
    <intercept-url pattern="/**" access="ROLE_USER"/>
    <form-login login-page="/login.jsp"
                authentication-failure-url="/login.jsp?error=1"
                default-target-url="/index.jsp"/>
    <logout/>
    <csrf />
</http>

<authentication-manager>
    <authentication-provider>
        <user-service>
            <user name="test" password="test" authorities="ROLE_USER/>
        </user-service>
    </authentication-provider>
</authentication-manager>

Файл login.jsp

<form name="f" action="${contextPath}/j_spring_security_check" method="post" >
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
    <button id="ingresarButton"
            name="submit"
            type="submit"
            class="right"
            style="margin-right: 10px;">Ingresar</button>
    <span>
        <label for="usuario">Usuario :</label>
        <input type="text" name="j_username" id="u" class="" value=''/>
    </span>
    <span>
        <label for="clave">Contrase&ntilde;a :</label>

        <input type="password"
               name="j_password"
               id="p"
               class=""
               onfocus="vc_psfocus = 1;"
               value="">
    </span>
</form>

И это делает следующий HTML:

<input type="hidden" name="" value="" />

Результат 403 HTTP-статус:

Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'.

ОБНОВЛЕНИЕ После некоторой отладки объект запроса получает прекрасный вид DelegatingFilterProxy, но в строке 469 CoyoteAdapter он выполняет request.recycle(); который стирает все атрибуты...

Я тестирую в Tomcat 6.0.36, 7.0.50 с JDK 1.7.

Я не понял этого поведения, скорее, это было бы возможно, если бы кто-то указал мне направление некоторой войны приложений с Spring Security 3.2, которая работает с CSRF.

97

spring spring-security csrf csrf-protection

Источник

user2172084 15 янв '14 в 02:27

12 ответов

Другие вопросы по тегам spring spring-security csrf csrf-protection

user1387157 28 апр '15 в 11:16 2015-04-28 11:16 · Answer 1 · 2015-04-28 11:16

Похоже, что защита CSRF (подделка межсайтовых запросов) в вашем приложении Spring включена. На самом деле он включен по умолчанию.

По словам spring.io:

Когда следует использовать защиту от CSRF? Мы рекомендуем использовать защиту CSRF для любого запроса, который может быть обработан браузером обычными пользователями. Если вы создаете только службу, которая используется не браузерными клиентами, вы, вероятно, захотите отключить защиту CSRF.

Итак, чтобы отключить его:

@Configuration
public class RestSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable();
  }
}

Если вы хотите, чтобы защита CSRF была включена, вы должны включить в форму csrftoken, Вы можете сделать это так:

<form .... >
  ....other fields here....
  <input type="hidden"  name="${_csrf.parameterName}"   value="${_csrf.token}"/>
</form>

Вы даже можете включить токен CSRF в действие формы:

<form action="./upload?${_csrf.parameterName}=${_csrf.token}" method="post" enctype="multipart/form-data">

user16206 06 июн '14 в 15:50 2014-06-06 15:50 · Answer 2 · 2014-06-06 15:50

Разве вы не должны добавить в форму входа?;

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>

Как указано здесь в документации по безопасности Spring

32

Источник

user16206 06 июн '14 в 15:50

user2470498 09 авг '15 в 06:09 2015-08-09 06:09 · Answer 3 · 2015-08-09 06:09

Если вы примените security="none", токен csrf не будет сгенерирован. страница не пройдет через фильтр безопасности. Используйте роль ANONYMOUS.

Я не вдавался в подробности, но это работает для меня.

 <http auto-config="true" use-expressions="true">
   <intercept-url pattern="/login.jsp" access="hasRole('ANONYMOUS')" />
   <!-- you configuration -->
   </http>

user4730194 09 май '15 в 21:20 2015-05-09 21:20 · Answer 4 · 2015-05-09 21:20

Попробуйте изменить это: <csrf /> к этому: <csrf disabled="true"/>, Следует отключить csfr.

7

Источник

user4730194 09 май '15 в 21:20

user4466122 17 окт '16 в 17:05 2016-10-17 17:05 · Answer 5 · 2016-10-17 17:05

С тимелией вы можете добавить:

<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>

7

Источник

user4466122 17 окт '16 в 17:05

user7413432 13 янв '17 в 07:12 2017-01-13 07:12 · Answer 6 · 2017-01-13 07:12

Документация Spring для отключения csrf: https://docs.spring.io/spring-security/site/docs/current/reference/html/csrf.html

@EnableWebSecurity
public class WebSecurityConfig extends
WebSecurityConfigurerAdapter {

   @Override
   protected void configure(HttpSecurity http) throws Exception {
      http.csrf().disable();
   }
}

6

Источник

user7413432 13 янв '17 в 07:12

user5291494 02 сен '15 в 08:07 2015-09-02 08:07 · Answer 7 · 2015-09-02 08:07

Раньше у меня была такая же проблема.

Ваша конфигурация использует security="none", поэтому не может генерировать _csrf:

<http pattern="/login.jsp" security="none"/>

Вы можете установить доступ ="IS_AUTHENTICATED_ANONYMOUSLY" для страницы /login.jsp заменить выше конфигурации:

<http>
    <intercept-url pattern="/login.jsp*" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
    <intercept-url pattern="/**" access="ROLE_USER"/>
    <form-login login-page="/login.jsp"
            authentication-failure-url="/login.jsp?error=1"
            default-target-url="/index.jsp"/>
    <logout/>
    <csrf />
</http>

user663011 14 июн '14 в 07:38 2014-06-14 07:38 · Answer 8 · 2014-06-14 07:38

Я думаю, что CSRF работает только с пружинными формами

<%@ taglib prefix="form" uri="http://www.springframework.org/tags/form" %>

изменить на form:form пометьте и посмотрите, что работает.

2

Источник

user663011 14 июн '14 в 07:38

user1126526 10 фев '14 в 03:26 2014-02-10 03:26 · Answer 9 · 2014-02-10 03:26

Пожалуйста, посмотрите мой рабочий пример приложения на Github и сравните с настройками.

1

Источник

user1126526 10 фев '14 в 03:26

user7089576 21 фев '18 в 12:33 2018-02-21 12:33 · Answer 10 · 2018-02-21 12:33

Ни одно из решений не сработало от меня. Единственный, кто работал для меня в форме Spring:

action = "./ upload?$ {_ csrf.parameterName}= $ {_ csrf.token}"

ЗАМЕНЕНО С:

action = "./ upload?_csrf= $ {_ csrf.token}"

(Spring 5 с включенным csrf в конфигурации java)

1

Источник

user7089576 21 фев '18 в 12:33

user4813777 31 июл '17 в 22:35 2017-07-31 22:35 · Answer 11 · 2017-07-31 22:35

В вашем контроллере добавьте следующее:

@RequestParam(value = "_csrf", required = false) String csrf

И на странице JSP добавить

<form:form modelAttribute="someName" action="someURI?${_csrf.parameterName}=${_csrf.token}

0

Источник

user4813777 31 июл '17 в 22:35

user5256578 16 янв '18 в 07:08 2018-01-16 07:08 · Answer 12 · 2018-01-16 07:08

Я использовал версию jar Spring 4.2.3 для безопасности Spring, но я получил ту же ошибку. Затем я понизил до 3.1.4, и эта работа отлично.

Вот мои зависимости от pom.xml:

<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-core</artifactId>
    <version>3.2.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-beans</artifactId>
    <version>3.2.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-context</artifactId>
    <version>3.2.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-jdbc</artifactId>
    <version>3.2.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-web</artifactId>
    <version>3.2.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-webmvc</artifactId>
    <version>3.2.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>javax.servlet</groupId>
    <artifactId>jstl</artifactId>
    <version>1.2</version>
</dependency>
<dependency>
    <groupId>mysql</groupId>
    <artifactId>mysql-connector-java</artifactId>
    <version>5.1.26</version>
</dependency>
<dependency>
    <groupId>javax.validation</groupId>
    <artifactId>validation-api</artifactId>
    <version>1.1.0.Final</version>
</dependency>
<dependency>
    <groupId>org.hibernate</groupId>
    <artifactId>hibernate</artifactId>
    <version>3.5.4-Final</version>
    <type>pom</type>
</dependency>
<dependency>
    <groupId>org.hibernate</groupId>
    <artifactId>hibernate-validator</artifactId>
    <version>5.0.1.Final</version>
</dependency>
<dependency>
    <groupId>commons-validator</groupId>
    <artifactId>commons-validator</artifactId>
    <version>1.4.0</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-core</artifactId>
    <version>3.1.4.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>3.1.4.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>3.1.4.RELEASE</version>
</dependency>