Token CSRF "null" non valido trovato nel parametro di richiesta "_csrf" o nell'intestazione "X-CSRF-TOKEN"

Dopo aver configurato Spring Security 3.2, _csrf.tokennon è vincolato a una richiesta oa un oggetto sessione.

Questa è la configurazione della sicurezza primaverile:

<http pattern="/login.jsp" security="none"/>

<http>
    <intercept-url pattern="/**" access="ROLE_USER"/>
    <form-login login-page="/login.jsp"
                authentication-failure-url="/login.jsp?error=1"
                default-target-url="/index.jsp"/>
    <logout/>
    <csrf />
</http>

<authentication-manager>
    <authentication-provider>
        <user-service>
            <user name="test" password="test" authorities="ROLE_USER/>
        </user-service>
    </authentication-provider>
</authentication-manager>

Il file login.jsp

<form name="f" action="${contextPath}/j_spring_security_check" method="post" >
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
    <button id="ingresarButton"
            name="submit"
            type="submit"
            class="right"
            style="margin-right: 10px;">Ingresar</button>
    <span>
        <label for="usuario">Usuario :</label>
        <input type="text" name="j_username" id="u" class="" value=''/>
    </span>
    <span>
        <label for="clave">Contrase&ntilde;a :</label>

        <input type="password"
               name="j_password"
               id="p"
               class=""
               onfocus="vc_psfocus = 1;"
               value="">
    </span>
</form>

E rende il prossimo html:

<input type="hidden" name="" value="" />

Il risultato è lo stato HTTP 403:

Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'.

UPDATE Dopo un po 'di debug, l'oggetto request esce in forma fine DelegatingFilterProxy, ma nella riga 469 di CoyoteAdapter esegue request.recycle (); che cancella tutti gli attributi ...

Provo in Tomcat 6.0.36, 7.0.50 con JDK 1.7.

Non ho capito questo comportamento, piuttosto che, sarebbe possibile se qualcuno mi indicasse la direzione di una guerra di esempio di applicazione con Spring Security 3.2 che funziona con CSRF.

Sembra che la protezione CSRF (Cross Site Request Forgery) nella tua applicazione Spring sia abilitata. In realtà è abilitato di default.

Secondo spring.io :

Quando dovresti usare la protezione CSRF? La nostra raccomandazione è di utilizzare la protezione CSRF per qualsiasi richiesta che potrebbe essere elaborata da un browser da utenti normali. Se stai solo creando un servizio che viene utilizzato da client non browser, probabilmente vorrai disabilitare la protezione CSRF.

Quindi per disabilitarlo:

@Configuration
public class RestSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable();
  }
}

Se vuoi mantenere abilitata la protezione CSRF, devi includere nel modulo il file csrftoken. Puoi farlo in questo modo:

<form .... >
  ....other fields here....
  <input type="hidden"  name="${_csrf.parameterName}"   value="${_csrf.token}"/>
</form>

Puoi persino includere il token CSRF nell'azione del modulo:

<form action="./upload?${_csrf.parameterName}=${_csrf.token}" method="post" enctype="multipart/form-data">

Non dovresti aggiungere al modulo di accesso ?;

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/> 

Come indicato nella documentazione sulla sicurezza qui in Spring

Se applichi, security="none"non verrà generato alcun token csrf. La pagina non passerà attraverso il filtro di sicurezza. Usa il ruolo ANONIMO.

Non sono entrato nei dettagli, ma per me funziona.

 <http auto-config="true" use-expressions="true">
   <intercept-url pattern="/login.jsp" access="hasRole('ANONYMOUS')" />
   <!-- you configuration -->
   </http>

Prova a cambiare questo: <csrf /> a questo: <csrf disabled="true"/>. Dovrebbe disabilitare csfr.

Con la foglia di timo puoi aggiungere:

<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>

Documentazione di primavera per disabilitare csrf: https://docs.spring.io/spring-security/site/docs/current/reference/html/csrf.html#csrf-configure

@EnableWebSecurity
public class WebSecurityConfig extends
WebSecurityConfigurerAdapter {

   @Override
   protected void configure(HttpSecurity http) throws Exception {
      http.csrf().disable();
   }
}

Avevo lo stesso problema.

La tua configurazione usa security = "none" quindi non può generare _csrf:

<http pattern="/login.jsp" security="none"/>

puoi impostare access = "IS_AUTHENTICATED_ANONYMOUSLY" per la pagina /login.jsp sostituire la configurazione sopra ：

<http>
    <intercept-url pattern="/login.jsp*" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
    <intercept-url pattern="/**" access="ROLE_USER"/>
    <form-login login-page="/login.jsp"
            authentication-failure-url="/login.jsp?error=1"
            default-target-url="/index.jsp"/>
    <logout/>
    <csrf />
</http>

Penso che csrf funzioni solo con le forme primaverili

<%@ taglib prefix="form" uri="http://www.springframework.org/tags/form" %>

cambia in form:formtag e vedi che funziona.

Si prega di vedere la mia applicazione di esempio funzionante su GitHub e confrontarla con la configurazione.

Nessuna delle soluzioni ha funzionato da me. L'unico che ha funzionato per me in primavera è:

azione = "./ upload? $ {_ csrf.parameterName} = $ {_ csrf.token}"

SOSTITUITO CON:

azione = "./ upload? _csrf = $ {_ csrf.token}"

(Spring 5 con csrf abilitato nella configurazione java)

Nel tuo controller aggiungi quanto segue:

@RequestParam(value = "_csrf", required = false) String csrf

E sulla pagina jsp aggiungi

<form:form modelAttribute="someName" action="someURI?${_csrf.parameterName}=${_csrf.token}