Spring Security tokenRepository CSRF设置p:cookieHttpOnly="false“获取错误

Spring Security是一个开源的安全框架，用于在Java应用程序中实现身份验证和授权。它提供了一套功能强大的机制来保护应用程序免受各种安全威胁。

在Spring Security中，tokenRepository是用于存储和管理令牌（Token）的接口。CSRF（Cross-Site Request Forgery）是一种常见的Web攻击方式，它利用用户在其他网站上的身份验证信息来伪造请求，从而执行未经授权的操作。为了防止CSRF攻击，可以通过设置p:cookieHttpOnly="false"来禁用HttpOnly属性，使得浏览器可以通过JavaScript访问和操作Cookie。

然而，禁用HttpOnly属性可能会增加应用程序受到XSS（Cross-Site Scripting）攻击的风险。XSS攻击是一种利用恶意脚本注入网页中的攻击方式，攻击者可以通过注入恶意脚本来窃取用户的敏感信息。因此，建议在设置p:cookieHttpOnly属性时，仔细评估应用程序的安全需求和风险。

对于Spring Security的CSRF设置，可以参考以下步骤：

在Spring Security配置文件中，配置CSRF保护：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf()
                .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
                .and()
            // 其他配置...
    }
}

在前端页面中添加CSRF令牌：

<head>
    <meta name="_csrf" th:content="${_csrf.token}"/>
    <meta name="_csrf_header" th:content="${_csrf.headerName}"/>
</head>
<body>
    <!-- 页面内容 -->
    <script th:inline="javascript">
        var csrfToken = /*[[${_csrf.token}]]*/ '';
        var csrfHeader = /*[[${_csrf.headerName}]]*/ '';
        // 使用csrfToken和csrfHeader进行请求
    </script>
</body>

在上述代码中，使用了Spring Security提供的CookieCsrfTokenRepository.withHttpOnlyFalse()方法来配置CSRF保护，并将CSRF令牌和头信息添加到前端页面中。

关于Spring Security的CSRF设置和使用，可以参考腾讯云的产品文档：Spring Security CSRF设置。

需要注意的是，本回答没有提及具体的腾讯云产品和产品介绍链接地址，因为要求答案中不能提及亚马逊AWS、Azure、阿里云、华为云、天翼云、GoDaddy、Namecheap、Google等流行的云计算品牌商。

Spring Security tokenRepository CSRF设置p:cookieHttpOnly="false“获取错误

java、spring、spring-mvc、spring-security

我得到了cookieHttpOnly = "false“的错误。“未绑定与元素类型"b:bean”关联的属性"p:cookieHttpOnly“的前缀"p”。“ <cont

浏览 23提问于2020-02-06得票数 0

回答已采纳

2回答

403禁止无效的CSRF

spring、spring-security、csrf

我正在建立一个使用spring安全和胸腺叶的web应用程序，我让它与登录和注销工作，但我有一些问题，当我尝试注册为最终用户。我收到一个无效的csrf令牌错误。我是个新手，我需要一些帮助。$log.info("Error: status =" + status + ", body =" + JSON.stringify(data)); } 和错误: status =403, body ={"timestamp":14306453565

浏览 1提问于2015-05-03得票数 1

1回答

利用Spring安全保护web应用免受CSRF攻击

javascript、java、spring、spring-security、csrf

我正在我的web应用程序中实现CSRF保护。Spring验证接收到的XSRF令牌，并允许/拒绝请求。但是它们是一个约束，这个XSRF必须是httpOnly是false，这样客户端JavaSc

浏览 0提问于2019-04-18得票数 0

回答已采纳

1回答

使用Dojo和Spring安全性时由于无法验证CSRF令牌而导致用户身份验证失败

spring-mvc、spring-security、dojo

/j_spring_security_check", return response;: function(response, ioArgs) { }在服务器端，Springauthenticate" username-parameter="j_username&quo

浏览 4提问于2017-01-18得票数 0

1回答

用requireCsrfProtectionMatcher实现安全csrfTokenRepository的扫描

spring-security、csrf、cas

我试图禁用特定网址的Csrf。("//j_spring_cas_security_check".equals(request.getRequestURI())); .requireCsrfProtectionMatcher.csrfTokenRepository(csrfTokenRepository()); 如果我注释掉了requireCsrfProtectionMatcher，或者简单地在所有匹配器中返回false<

浏览 3提问于2015-06-28得票数 1

回答已采纳

4回答

弹簧CSRF* + AngularJs*

angularjs、spring-mvc、spring-security、csrf

问题是，当我尝试用AngularJS发布表单时，我一直被错误403 (访问被拒绝)所阻塞。http://www.springframework.org/schema/security/spring-security.xsd>

浏览 6提问于2015-07-13得票数 5

回答已采纳

1回答

每次调用Spring安全预身份验证过滤器

spring-boot、spring-security、pre-authentication

我有一个Spring应用程序，在那里我有自定义的预认证过滤器。我想忽略安全的健康URL，但我不能这样做。下面是我的配置。userDetailsService; private IUserIdentityService iUserIdentityService; filter.setContinueFilterChainOnUnsuccessfulAu

浏览 4提问于2021-03-25得票数 1

1回答

如何在Grails 4集成测试中禁用spring安全性？

spring-boot、grails、spring-security、integration-testing、grails-4

spring: enabled: falseCould not verify the provided CSRF token because your session was not'org.springframework.security:spring-security</

浏览 3提问于2020-03-17得票数 2

1回答

Spring :使用用户密码创建Java密钥存储库，然后访问密钥

java、spring-mvc、encryption、spring-security、keystore

但是，由于我不知道Spring-security是如何在何处获取明文密码并在其上执行BCrypt来检查与数据库的对应关系，所以我无法使用明文密码来创建一个MD5和。(false); p.setUsername(p.getUsername().toLowerCase((p.getUsername(), p.getFirs

浏览 4提问于2015-03-02得票数 1

回答已采纳

2回答

AngularJS XSRF策略不支持cookie路径

javascript、java、angularjs、spring、cookies

我有三个spring引导应用程序运行在同一台具有不同路径的服务器上。它们都公开了API端点，其中一个还服务于web资源，如HTML、JavaScript和CSS。org.springframework.security.web.csrf.CookieCsrfTokenRepository中运行得很好。" class="org.springframework.security.web.csrf.CookieCsrfTokenRepository"> <bea

浏览 2提问于2017-10-31得票数 4

回答已采纳

2回答

如何在JSF表单中进行Spring安全身份验证

jsf-2、spring-security

我创建了一个简单的JSF登录页面，并试图将其与spring安全性集成。id="j_password" value="#{loginBean.password}" /> <h:commandButton value="Submit" action="#{j_spring_security_checkId:</label><input id="j_idt6:j_username" type=&q

浏览 2提问于2013-05-24得票数 6

回答已采纳

2回答

Cookie CsrfTokenRepository.withHttpOnlyFalse ()做什么，什么时候使用它？

java、spring、spring-boot、spring-security、csrf

我现在正在学习Security，我已经看到了许多不同的例子。我知道CSRF是什么，Spring Security默认启用它。我想知道的是这种定制。.csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()) .authorizeRequestsantMatchers("/login").permitAll() .anyReque

浏览 17提问于2020-06-29得票数 12

回答已采纳

1回答

使用Spring、Eureka、Zuul、Spring创建OAuth安全微服务的问题

spring-security、spring-boot、spring-cloud、spring-oauth2

我正在尝试使用Spring、Eureka、Zuul和Spring获得一个Zuul反向代理设置。具体来说，我正在尝试从Zuul后面的OAuth服务器获取一个OAuth承载令牌。我知道这一点，因为我会让CSRF的错误在任何请求后提出。设置security.enable-csrf=false没有禁用它(我发现这很奇怪)。设置security.basic.enabled=false

浏览 5提问于2016-07-11得票数 4

回答已采纳

1回答

P:文件working不工作

primefaces、jsf-2

-- Spring Security --> <groupId>org.springframework.security</groupId><artifactId>spring-security-web</artifactId> <version>${springsecurity.version}</version>>

浏览 1提问于2018-02-23得票数 0

1回答

使用Symfony表单组件独立于安全性-csrf-提交错误

forms、symfony、csrf

对于使用symfony/form作为独立组件的security-csrf以及与PHP内置服务器一起运行的security-csrf，我有一个问题。我几乎不记得在Symfony框架中有这样的问题。重写这里提到的webmozart示例， csrf令牌是用树枝桥生成的，但是在提交表单时，在调用$form->isValid()时会出现invalid csrf错误。默认情况下启用csrf保护，设置为false

浏览 1提问于2020-08-25得票数 1

回答已采纳

4回答

带过滤器的Java spring- rest /泽西安全rest路由

java、spring、spring-boot、spring-security、jersey

我在pom.xml中使用了以下内容，它实际上是保护root 路由的安全，我看到身份验证过程在浏览器中启动了几秒钟 <filter-name>CsrfFilter</filter-name> </filter> <filter-name>CsrfFilt

浏览 0提问于2018-03-01得票数 10

回答已采纳

1回答

使用Ajax登录的Spring安全记住-我

spring、spring-security、remember-me

/schema/securityhttp://www.springframework.org/**" security="none" /> <http auto-config="false

浏览 5提问于2016-04-21得票数 1

回答已采纳

3回答

CodeIgniter上的ajax出现403错误

ajax、codeigniter

我想在我的CodeIgniter应用程序上使用Ajax (带有JQuery插件数据表)，但是当我输入控制器的地址时，我得到了一个403错误。我使用的是Codeigniter的3.1.8版本。{ "data": "col1" }, { "data": "col3" },} ); 我尝试将$config‘’csrf_regenerate‘设置

浏览 0提问于2018-05-26得票数 0

2回答

Spring Security登录:用户必须在登录前激活自己的帐户

java、spring、security、authentication

我已经实现了spring安全来保护我们网站的部分内容。我使用DB (MongoDB)来存储用户名/密码。我实现了org.springframework.security.core.userdetails.UserDetailsService来从数据库中查找帐户详细信息。

浏览 1提问于2012-06-25得票数 5

回答已采纳

1回答

Spring安全行为在XML和Java配置之间是不同的

spring、jsf、spring-security

我正在使用Spring Security 4.2.4和一个JSF应用程序。 <center> <p:commandBu

浏览 0提问于2018-02-27得票数 0

点击加载更多

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云

Spring Security tokenRepository CSRF设置p:cookieHttpOnly="false“获取错误

相关·内容

Spring Security tokenRepository CSRF设置p:cookieHttpOnly="false“获取错误

403禁止无效的CSRF

利用Spring安全保护web应用免受CSRF攻击

使用Dojo和Spring安全性时由于无法验证CSRF令牌而导致用户身份验证失败

用requireCsrfProtectionMatcher实现安全csrfTokenRepository的扫描

弹簧CSRF* + AngularJs*

每次调用Spring安全预身份验证过滤器

如何在Grails 4集成测试中禁用spring安全性？

Spring :使用用户密码创建Java密钥存储库，然后访问密钥

AngularJS XSRF策略不支持cookie路径

如何在JSF表单中进行Spring安全身份验证

Cookie CsrfTokenRepository.withHttpOnlyFalse ()做什么，什么时候使用它？

使用Spring、Eureka、Zuul、Spring创建OAuth安全微服务的问题

P:文件working不工作

使用Symfony表单组件独立于安全性-csrf-提交错误

带过滤器的Java spring- rest /泽西安全rest路由

使用Ajax登录的Spring安全记住-我

CodeIgniter上的ajax出现403错误

Spring Security登录:用户必须在登录前激活自己的帐户

Spring安全行为在XML和Java配置之间是不同的

扫码

相关资讯

热门标签

活动推荐

运营活动

社区

活动

资源

关于

腾讯云开发者

热门产品

热门推荐

更多推荐