如何在spring安全中仅为localhost禁用csrf？

在Spring Security中，可以通过配置来禁用CSRF保护，只允许localhost访问。CSRF（Cross-Site Request Forgery）是一种网络攻击方式，攻击者利用用户在其他网站上的身份认证信息，伪造请求发送到目标网站，从而执行恶意操作。

要在Spring Security中禁用CSRF保护并仅允许localhost访问，可以进行以下配置：

1. 在Spring Security的配置类中，通过重写configure(HttpSecurity http)方法来配置安全策略。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf()
                .ignoringAntMatchers("/api/**") // 忽略指定路径的CSRF保护
                .and()
            .authorizeRequests()
                .antMatchers("/api/**").permitAll() // 允许指定路径的访问
                .anyRequest().authenticated() // 其他请求需要身份认证
                .and()
            .httpBasic(); // 使用HTTP基本认证
    }
}

在上述配置中，ignoringAntMatchers("/api/**")指定了忽略CSRF保护的路径，这里以/api/**为例，你可以根据实际情况进行修改。

1. 在应用的配置文件（如application.properties或application.yml）中，配置Spring Security的CSRF相关属性。

spring.security.csrf.enabled=false

通过将spring.security.csrf.enabled属性设置为false，禁用了Spring Security的CSRF保护。

这样配置后，CSRF保护将被禁用，并且只有localhost可以访问受保护的资源。其他远程请求将无法通过身份验证。

请注意，禁用CSRF保护可能会增加应用的安全风险。在实际开发中，应根据具体需求和安全要求来决定是否禁用CSRF保护，并在必要时采取其他安全措施。

关于Spring Security和CSRF保护的更多信息，可以参考腾讯云的产品文档：

• Spring Security官方文档
• Spring Security CSRF保护