Файл cookie того же сайта в Spring Security

Question

Файл cookie того же сайта в Spring Security

Можно ли установить флаг Cookie того же сайта в Spring Security? Смотрите: https://tools.ietf.org/html/draft-west-first-party-cookies-07 А если нет, то есть ли план по добавлению поддержки, пожалуйста? Уже есть поддержка в некоторых браузерах (например, Chrome). TH

29

security cookies spring-security csrf csrf-protection jsessionid

Источник

user7760653 24 мар '17 в 11:28

10 ответов

Другие вопросы по тегам security cookies spring-security csrf csrf-protection jsessionid

user548473 26 мар '20 в 06:17 2020-03-26 06:17 · Answer 1 · 2020-03-26 06:17

Новая версия Tomcat поддерживает файлы cookie SameSite через TomcatContextCustomizer. Таким образом, вы должны настраивать Tomcat CookieProcessor, например, для Spring Boot:

@Configuration
public class MvcConfiguration implements WebMvcConfigurer {

  @Bean
  public TomcatContextCustomizer sameSiteCookiesConfig() {
    return context -> {
        final Rfc6265CookieProcessor cookieProcessor = new Rfc6265CookieProcessor();
        cookieProcessor.setSameSiteCookies(SameSiteCookies.NONE.getValue());
        context.setCookieProcessor(cookieProcessor);
    };
  }

За SameSiteCookies.NONE знайте, чем файлы cookie Secure (Используется SSL), иначе они не могут быть применены.

По умолчанию, поскольку файлы cookie Chrome 80 считаются SameSite=Lax!

Смотрите SameSite Cookie в рецептах Spring Boot и SameSite cookie

ОБНОВЛЕНИЕ: для прокси nginx это можно легко решить в конфигурации nginx:

    if ($scheme = http) {
        return 301 https://$http_host$request_uri;
    }

    proxy_cookie_path / "/; secure; SameSite=None";

user4258006 22 ноя '19 в 17:54 2019-11-22 17:54 · Answer 2 · 2019-11-22 17:54

Вместо фильтра в обработчике успешной аутентификации вы можете указать таким образом.


    @Override
        public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response,
                Authentication authentication) throws IOException {
            response.setStatus(HttpServletResponse.SC_OK);
            clearAuthenticationAttributes(request);
            addSameSiteCookieAttribute(response);
            handle(request, response);
        }

        private void addSameSiteCookieAttribute(HttpServletResponse response) {
            Collection<String> headers = response.getHeaders(HttpHeaders.SET_COOKIE);
            boolean firstHeader = true;
            for (String header : headers) { // there can be multiple Set-Cookie attributes
                if (firstHeader) {
                    response.setHeader(HttpHeaders.SET_COOKIE, String.format("%s; %s", header, "SameSite=Strict"));
                    firstHeader = false;
                    continue;
                }
                response.addHeader(HttpHeaders.SET_COOKIE, String.format("%s; %s", header, "SameSite=Strict"));
            }
        }

Об этом упоминалось в одном из ответов. Не могу найти ссылку после того, как реализовал ее.

user7405767 15 апр '20 в 03:51 2020-04-15 03:51 · Answer 3 · 2020-04-15 03:51

Все возможные решения здесь не помогли мне. Каждый раз, когда я пробовал использовать фильтр или перехватчик, заголовок Set-Cookie еще не добавлялся. Единственный способ, которым я смог выполнить эту работу, - это добавить Spring Session и добавить этот bean-компонент в один из моих файлов @Configuration:

@Bean
public CookieSerializer cookieSerializer() {
    DefaultCookieSerializer serializer = new DefaultCookieSerializer();
    serializer.setSameSite("none");
    return serializer;
}

В любом случае надеюсь, что это поможет кому-то еще в моей ситуации.

user1880810 06 апр '17 в 08:46 2017-04-06 08:46 · Answer 4 · 2017-04-06 08:46

Вы всегда можете установить значения cookie самостоятельно в мире Java, если вы можете получить экземпляр HttpServletResponse,

Тогда вы можете сделать:

response.setHeader("Set-Cookie", "key=value; HttpOnly; SameSite=strict")

В Spring-Security вы можете легко сделать это с помощью фильтра, вот пример:

public class CustomFilter extends GenericFilterBean {

    @Override
    public void doFilter(ServletRequest request,  ServletResponse response, FilterChain chain) throws IOException, ServletException {

        HttpServletResponse resp = (HttpServletResponse)response;

        resp.setHeader("Set-Cookie", "locale=de; HttpOnly; SameSite=strict");

        chain.doFilter(request, response);
    }
}

Добавьте этот фильтр в ваш SecurityConfig следующим образом:

http.addFilterAfter(new CustomFilter(), BasicAuthenticationFilter.class)

Или через XML:

    <http>
        <custom-filter after="BASIC_AUTH_FILTER" ref="myFilter" />
    </http>

<beans:bean id="myFilter" class="org.bla.CustomFilter"/>

user7250020 25 мар '20 в 03:19 2020-03-25 03:19 · Answer 5 · 2020-03-25 03:19

Это невозможно. В Spring Session есть поддержка этой функции: https://spring.io/blog/2018/10/31/spring-session-bean-ga-released.

Я придумал решение, похожее на решение Рона. Но следует отметить одну важную вещь:

Файлы cookie для межсайтового использования должны указывать SameSite=None; Secure чтобы включить включение в сторонний контекст.

Поэтому я включил атрибут Secure в заголовок. Кроме того, вам не нужно переопределять все три метода, если вы их не используете. Это требуется только тогда, когда вы внедряетеHandlerInterceptor.

import org.apache.commons.lang.StringUtils;

public class CookiesInterceptor extends HandlerInterceptorAdapter {

final String sameSiteAttribute = "; SameSite=None";
final String secureAttribute = "; Secure";

@Override
public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {

    addEtagHeader(request, response);

    Collection<String> setCookieHeaders = response.getHeaders(HttpHeaders.SET_COOKIE);

    if (setCookieHeaders == null || setCookieHeaders.isEmpty())
        return;

    setCookieHeaders
        .stream()
        .filter(StringUtils::isNotBlank)
        .map(header -> {
            if (header.toLowerCase().contains("samesite")) {
                return header;
            } else {
                return header.concat(sameSiteAttribute);
            }
        })
        .map(header -> {
            if (header.toLowerCase().contains("secure")) {
                return header;
            } else {
                return header.concat(secureAttribute);
            }
        })
        .forEach(finalHeader -> response.setHeader(HttpHeaders.SET_COOKIE, finalHeader));
}

Я использовал xml в своем проекте, поэтому мне пришлось добавить это в свой файл конфигурации:

<mvc:interceptors>
    <bean class="com.zoetis.widgetserver.mvc.CookiesInterceptor"/>
</mvc:interceptors>

user4033979 10 фев '20 в 13:33 2020-02-10 13:33 · Answer 6 · 2020-02-10 13:33

Использование перехватчика в SpringBoot.

Я ищу решение для добавления SameSite, как и вы, и я хочу только добавить атрибут к существующему "Set-Cookie" вместо создания нового "Set-Cookie". Я пробовал несколько способов удовлетворить это требование, в том числе:
1. добавив настраиваемый фильтр, как сказал
@unwichtich, 2. и многое другое я переопределил basicAuthenticationFilter. Он добавляет атрибут SameSite. Трудно уловить время, когда Spring добавит "Set-Cookie". Я думал, что в методе onAuthenticationSuccess() ответ должен иметь этот заголовок, но его нет. Я не уверен, что это вина моего пользовательского заказа basicAuthenticationFilter.
3. с помощью cookieSerializer, но в версии с весенним сеансом возникают проблемы. Кажется, это поддерживается только последней версией, но я до сих пор не могу понять, какой номер версии следует добавить в список зависимостей.
К сожалению, ни один из перечисленных выше не может добавить тот же сайт так, как ожидалось.

Наконец, я обнаружил, что весенний перехватчик может помочь мне в этом. На это у меня ушла неделя. Надеюсь, это поможет вам, если у кого-то есть такая же проблема.

@Component
public class CookieServiceInterceptor extends HandlerInterceptorAdapter {

@Override
public boolean preHandle(
   HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {

   return true;
}

@Override
public void postHandle(
   HttpServletRequest request, HttpServletResponse response, Object handler, 
   ModelAndView modelAndView) throws Exception {
    //check whether it has "set-cookie" in the response, if it has, then add "SameSite" attribute
    //it should be found in the response of the first successful login
    Collection<String> headers = response.getHeaders(HttpHeaders.SET_COOKIE);
    boolean firstHeader = true;
    for (String header : headers) { // there can be multiple Set-Cookie attributes
        if (firstHeader) {
            response.setHeader(HttpHeaders.SET_COOKIE, String.format("%s; %s",  header, "SameSite=strict"));
            firstHeader = false;
            continue;
        }
        response.addHeader(HttpHeaders.SET_COOKIE, String.format("%s; %s",  header, "SameSite=strict"));
    }
}
@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, 
   Object handler, Exception exception) throws Exception {}
}

и вам также необходимо заставить этот перехватчик работать в вашем приложении, что означает, что вы должны добавить bean-компонент, как показано ниже:

   @Autowired
   CookieServiceInterceptor cookieServiceInterceptor;

   @Bean
  public MappedInterceptor myInterceptor()
  {
     return new MappedInterceptor(null, cookieServiceInterceptor);
  }

30 сен '20 в 01:54 2020-09-30 01:54 · Answer 7 · 2020-09-30 01:54

_{Я тестировал это решение на
spring-webmvc без
spring-security- видите простую форму обратной связи, но я думаю, что она также должна работать для
spring-boot.}

Используя `SessionRepositoryFilter` bean из Spring-session-core

Вы можете расширить Java по умолчанию HttpSession с пружиной Session и заменить JSESSIONID cookie на собственный, например:

       Set-Cookie: JSESSIONID=NWU4NzY4NWUtMDY3MC00Y2M1LTg1YmMtNmE1ZWJmODcxNzRj; Path=/; Secure; HttpOnly; SameSite=None

Дополнительная пружина Session флаги cookie можно установить с помощью DefaultCookieSerializer:

       @Configuration
@EnableSpringHttpSession
public class WebAppConfig implements WebApplicationInitializer {
    @Override
    public void onStartup(ServletContext servletContext) {
        servletContext
                .addFilter("sessionRepositoryFilter", DelegatingFilterProxy.class)
                .addMappingForUrlPatterns(null, false, "/*");
    }

    @Bean
    public MapSessionRepository sessionRepository() {
        final Map<String, Session> sessions = new ConcurrentHashMap<>();
        MapSessionRepository sessionRepository =
                new MapSessionRepository(sessions) {
                    @Override
                    public void save(MapSession session) {
                        sessions.entrySet().stream()
                                .filter(entry -> entry.getValue().isExpired())
                                .forEach(entry -> sessions.remove(entry.getKey()));
                        super.save(session);
                    }
                };
        sessionRepository.setDefaultMaxInactiveInterval(60*5);
        return sessionRepository;
    }

    @Bean
    public SessionRepositoryFilter<?> sessionRepositoryFilter(MapSessionRepository sessionRepository) {
        SessionRepositoryFilter<?> sessionRepositoryFilter =
                new SessionRepositoryFilter<>(sessionRepository);

        DefaultCookieSerializer cookieSerializer = new DefaultCookieSerializer();
        cookieSerializer.setCookieName("JSESSIONID");
        cookieSerializer.setSameSite("None");
        cookieSerializer.setUseSecureCookie(true);

        CookieHttpSessionIdResolver cookieHttpSessionIdResolver =
                new CookieHttpSessionIdResolver();
        cookieHttpSessionIdResolver.setCookieSerializer(cookieSerializer);

        sessionRepositoryFilter.setHttpSessionIdResolver(cookieHttpSessionIdResolver);

        return sessionRepositoryFilter;
    }
}

Я немного расширил реализацию MapSessionRepository, так как он НЕ поддерживает запуск SessionDeletedEvent или SessionExpiredEvent - я добавил очистку просроченных сеансов перед добавлением новых. Думаю, этого может хватить для небольшого приложения.

user2470765 17 июн '21 в 16:28 2021-06-17 16:28 · Answer 8 · 2021-06-17 16:28

Вы можете добавить cookie самостоятельно, используя ResponseCookie и добавив его в свой HttpServletResponse.

      ResponseCookie cookie = ResponseCookie.from("cookiename", "cookieValue")
            .maxAge(3600) // one hour
            .domain("test.com")
            .sameSite("None")
            .secure(true)
            .path("/")
            .build();
 response.addHeader(HttpHeaders.SET_COOKIE, cookie.toString());

1

Источник

user2470765 17 июн '21 в 16:28

user1007922 26 мар '21 в 00:41 2021-03-26 00:41 · Answer 9 · 2021-03-26 00:41

Для Spring Webflux (реактивная среда) это сработало для меня:

      @Configuration
@EnableSpringWebSession
public class SessionModule {

  @Bean
  public ReactiveSessionRepository<MapSession> reactiveSessionRepository() {
    return new ReactiveMapSessionRepository(new ConcurrentHashMap<>());
  }

  @Bean
  public WebSessionIdResolver webSessionIdResolver() {
    CookieWebSessionIdResolver resolver = new CookieWebSessionIdResolver();
    resolver.setCookieName("SESSION");
    resolver.addCookieInitializer((builder) -> {
      builder.path("/")
          .httpOnly(true)
          .secure(true)
          .sameSite("None; Secure");
    });
    return resolver;
  }
}

user11451 16 фев '22 в 16:45 2022-02-16 16:45 · Answer 10 · 2022-02-16 16:45

Судя по всему, с весенней загрузкой вы можете написать это, и оно будет подхвачено.

      @Configuration
public static class WebConfig implements WebMvcConfigurer {
    @Bean
    public CookieSameSiteSupplier cookieSameSiteSupplier(){
        return CookieSameSiteSupplier.ofNone();
    }
}

Или... еще проще, spring boot начиная с 2.6.0 поддерживает настройку в application.properties.

Документация Spring о файлах cookie SameSite

      server.servlet.session.cookie.same-site = none

Файл cookie того же сайта в Spring Security

10 ответов

Используя SessionRepositoryFilter bean из Spring-session-core

Используя `SessionRepositoryFilter` bean из Spring-session-core