首页 资讯中心 文章详情

Spring Security CSRF防护与CORS配置实战指南

发布时间：2026/7/21 5:58:18
Spring Security CSRF防护与CORS配置实战指南 1. Spring Security中的CSRF防护机制解析CSRFCross-Site Request Forgery跨站请求伪造是Web应用中常见的安全威胁。Spring Security默认会对所有非安全HTTP方法如POST、PUT等启用CSRF防护。其核心原理是通过同步器令牌模式服务端生成唯一令牌CsrfToken令牌存储在会话或Cookie中客户端需在后续请求中携带该令牌服务端验证令牌有效性1.1 默认配置与工作原理Spring Security 6.x的默认CSRF配置包含以下关键组件Configuration EnableWebSecurity public class SecurityConfig { Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http .csrf(Customizer.withDefaults()); // 启用默认CSRF防护 return http.build(); } }默认实现包含三个核心部分HttpSessionCsrfTokenRepository- 将令牌存储在HttpSession中XorCsrfTokenRequestAttributeHandler- 提供BREACH攻击防护CsrfFilter- 处理实际的令牌验证逻辑关键点从Spring Security 6开始CSRF令牌加载改为延迟模式只有需要验证的请求才会加载会话这显著提升了性能。1.2 令牌存储策略对比Spring Security提供两种主要的令牌存储方式存储方式实现类适用场景优点缺点Session存储HttpSessionCsrfTokenRepository传统Web应用安全性高需要会话支持Cookie存储CookieCsrfTokenRepositorySPA/前后端分离无状态需防范XSSCookie存储的典型配置http.csrf(csrf - csrf .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()) );1.3 禁用CSRF防护的场景在某些API-only的应用中可能需要禁用CSRFhttp.csrf(csrf - csrf.disable());更精细的控制方式是指定忽略路径http.csrf(csrf - csrf .ignoringRequestMatchers(/api/public/**) );2. CORS跨域配置实战2.1 CORS与CSRF的关系虽然都涉及跨域安全但CORS和CSRF解决的是不同层面的问题CORS控制哪些外部域可以访问资源CSRF防止未授权的命令执行2.2 Spring Security中的CORS配置全局CORS配置示例Bean public CorsConfigurationSource corsConfigurationSource() { CorsConfiguration config new CorsConfiguration(); config.setAllowedOrigins(List.of(https://trusted.com)); config.setAllowedMethods(List.of(GET,POST)); config.setAllowCredentials(true); UrlBasedCorsConfigurationSource source new UrlBasedCorsConfigurationSource(); source.registerCorsConfiguration(/**, config); return source; }与Spring Security集成http.cors(cors - cors .configurationSource(corsConfigurationSource()) );2.3 常见CORS错误处理遇到has been blocked by CORS policy错误时检查预检请求(OPTIONS)是否通过响应头是否包含Access-Control-Allow-Origin带凭证请求时是否设置allowCredentialstrue复杂请求是否声明了Access-Control-Allow-Methods3. Session管理高级配置3.1 会话固定保护Spring Security默认启用会话固定保护http.sessionManagement(session - session .sessionFixation().migrateSession() );可选策略changeSessionId仅更改IDServlet 3.1migrateSession创建新会话并复制属性默认newSession创建全新会话none禁用保护3.2 并发会话控制限制单个用户的会话数量http.sessionManagement(session - session .maximumSessions(1) .maxSessionsPreventsLogin(true) );3.3 会话超时处理结合CSRF时需特别注意Bean public HttpSessionEventPublisher httpSessionEventPublisher() { return new HttpSessionEventPublisher(); }配置会话失效URLhttp.sessionManagement(session - session .invalidSessionUrl(/session-expired) );4. 综合配置示例4.1 安全配置模板Configuration EnableWebSecurity public class SecurityConfig { Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http .cors(cors - cors .configurationSource(corsConfigurationSource()) ) .csrf(csrf - csrf .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()) .ignoringRequestMatchers(/api/public/**) ) .sessionManagement(session - session .sessionFixation().migrateSession() .maximumSessions(1) .expiredUrl(/session-expired) ); return http.build(); } Bean public CorsConfigurationSource corsConfigurationSource() { // 同上文CORS配置 } }4.2 测试配置要点测试CSRF防护的MockMvc示例Autowired private WebApplicationContext context; private MockMvc mockMvc; BeforeEach void setup() { mockMvc MockMvcBuilders .webAppContextSetup(context) .apply(springSecurity()) .build(); } Test void postWithValidCsrf() throws Exception { mockMvc.perform(post(/submit) .with(csrf())) // 自动添加有效CSRF令牌 .andExpect(status().isOk()); }5. 疑难问题排查指南5.1 CSRF相关错误问题1InvalidCsrfTokenException可能原因表单缺少_csrf参数AJAX请求未携带X-CSRF-TOKEN头会话超时导致令牌失效解决方案检查表单是否包含input typehidden name_csrf th:value${_csrf.token}/对于AJAX请求添加headers: {X-CSRF-TOKEN: token}问题2CookieCsrfTokenRepository不工作检查点是否设置了withHttpOnlyFalse()前端是否正确读取XSRF-TOKEN cookie是否在请求头中携带X-XSRF-TOKEN5.2 CORS相关错误问题预检请求失败典型表现Response to preflight request doesnt pass access control check解决方案确保OPTIONS请求不被拦截.requestMatchers(HttpMethod.OPTIONS).permitAll()检查CORS配置是否包含所需方法config.setAllowedMethods(List.of(GET,POST,PUT,DELETE,OPTIONS));5.3 Session相关错误问题session persistence异常现象重启后会话丢失集群环境下会话不同步解决方案配置持久化Session存储spring.session.store-typeredis添加依赖dependency groupIdorg.springframework.session/groupId artifactIdspring-session-data-redis/artifactId /dependency6. 性能优化建议CSRF令牌延迟加载Spring Security 6默认// 无需特别配置默认已启用会话优化减少会话中存储的数据量考虑使用session.statelesstrue的无状态架构CORS缓存config.setMaxAge(3600L); // 预检结果缓存1小时异步处理http.sessionManagement(session - session .sessionCreationPolicy(SessionCreationPolicy.ALWAYS) );实际项目中我曾遇到一个SPA应用因频繁预检请求导致性能下降的情况。通过调整CORS缓存时间和精简允许的方法列表最终将API响应时间降低了40%。关键配置如下config.setAllowedMethods(List.of(GET,POST)); // 仅允许必要方法 config.setMaxAge(7200L); // 预检缓存2小时

相关新闻

C++函数式编程三件套：Lambda、Bind与Function实战解析

C++函数式编程三件套：Lambda、Bind与Function实战解析

2026/7/21 5:58:18

1. 项目概述：为什么我们需要这三个“神器”？如果你写过一段时间的C，尤其是从C11标准开始接触现代C，那你一定对lambda、bind和function这三个名字不陌生。它们经常被并称为C的“函数神器”或“函数三件套”。但很多开发者&#xff…

Spring Boot 3.5整合MyBatis-Plus实战与优化指南

Spring Boot 3.5整合MyBatis-Plus实战与优化指南

2026/7/21 5:58:18

1. 项目概述 Spring Boot 3.5与MyBatis-Plus的整合是当前Java企业级开发中最热门的技术组合之一。作为一名长期使用这套技术栈的开发者，我发现很多团队在整合过程中都会遇到相似的困惑和陷阱。本文将从一个实战者的角度，完整解析从环境搭建到生产部署的全…

【LLM】一文讲透 AI Agent：从概念到四大核心组件

【LLM】一文讲透 AI Agent：从概念到四大核心组件

2026/7/21 5:57:18

Agent 到底是什么？ 这两年，“Agent” 无疑是 AI 领域最高频的词汇之一。很多人对它有一个模糊的认知，知道它比普通 AI 更强大，但真要准确定义，又往往说不清楚。 抛开晦涩的学术定义，我们可以用一个生活化的…

药食同源中药挤压膨化过程水分传递规律与关键控制因子分析

药食同源中药挤压膨化过程水分传递规律与关键控制因子分析

2026/7/21 16:23:44

一、引言中药挤压膨化技术是将传统中药炮制理念与现代食品加工技术相结合的新型炮制手段，通过挤压膨化机的剪切、摩擦、高温、高压协同作用，实现中药物料的糊化、改性、灭菌与膨化，可有效解决传统中药饮片口感粗糙、溶解性差、煎煮繁琐、有效…

从源码到部署：Pi.Alert开发者完全指南

从源码到部署：Pi.Alert开发者完全指南

2026/7/21 16:23:44

从源码到部署：Pi.Alert开发者完全指南 【免费下载链接】Pi.Alert Scan the devices connected to your WIFI / LAN and alert you the connection of unknown devices. It also warns if a "always connected" device disconnects. In addition, it is po…

如何利用Malwoverview构建3倍效率的威胁情报一体化工作流

如何利用Malwoverview构建3倍效率的威胁情报一体化工作流

2026/7/21 16:23:44

如何利用Malwoverview构建3倍效率的威胁情报一体化工作流 【免费下载链接】malwoverview Malwoverview is a first response tool for threat hunting across VirusTotal, Hybrid Analysis, URLHaus, Polyswarm, Malshare, Alien Vault, Malpedia, Malware Bazaar, ThreatFox, …

RedisInsight：重新定义Redis可视化管理的高效专业工具

RedisInsight：重新定义Redis可视化管理的高效专业工具

2026/7/21 16:23:44

RedisInsight：重新定义Redis可视化管理的高效专业工具 【免费下载链接】RedisInsight Redis GUI by Redis 项目地址: https://gitcode.com/GitHub_Trending/re/RedisInsight RedisInsight是Redis官方推出的GUI管理工具，为开发者和运维人员提供了直…

Hi3861鸿蒙开发环境搭建

Hi3861鸿蒙开发环境搭建

2026/7/21 16:22:43

1.1 安装配置Visual Studio Code 打开Download Visual Studio Code - Mac, Linux, Windows选择下载安装Windows系统的Visual Studio Code。 下载后进行安装。Visual Studio Code安装完成后，通过内置的插件市场搜索并安装开发所需的插件如图所示： 1.2 安…

只会用工具不算黑客，手把手教你写第一个渗透脚本

只会用工具不算黑客，手把手教你写第一个渗透脚本

2026/7/21 0:03:00

从“工具人”到“创造者”：为什么只会用工具不算黑客 在网络安全的学习道路上，很多初学者都会经历一个相似的阶段：手里攥着一堆神器，Burp Suite 抓包改包行云流水，SQLMap 一键注入势如破竹，Nmap 扫描全网段…

Unity与Python本地通信：基于Flask的跨语言数据交换实战

Unity与Python本地通信：基于Flask的跨语言数据交换实战

2026/7/21 1:51:45

1. 项目概述：为什么我们需要一个本地通信服务器？在游戏开发、数字孪生、仿真训练等众多领域，Unity作为强大的实时3D内容创作平台，其核心逻辑通常由C#驱动。然而，当我们需要进行复杂的数据分析、机器学习推理、科学计算…

科研课题设计全流程：从选题到成果落地的实战指南

科研课题设计全流程：从选题到成果落地的实战指南

2026/7/21 8:52:10

1. 课题设计全流程解析：从选题到成果落地的实战指南课题设计是科研工作者、高校师生以及企业研发人员日常工作中的核心环节。一个优秀的课题设计不仅决定了研究的方向和质量，更直接影响最终成果的学术价值和应用前景。作为在科研一线摸爬滚打多年的从业者…

数据分析师必学MySQL：从零构建电商销售分析实战

数据分析师必学MySQL：从零构建电商销售分析实战

2026/7/21 9:29:21

你是不是也遇到过这样的困惑：想学数据分析，看了很多Python、R语言的教程，结果发现第一步就被卡住了——数据从哪里来？怎么存？怎么查？怎么保证数据准确？很多数据分析教程都默认你已经有了一个干净…

HS2-HF Patch：3步实现HoneySelect2完美汉化与MOD整合

HS2-HF Patch：3步实现HoneySelect2完美汉化与MOD整合

2026/7/21 4:49:45

HS2-HF Patch：3步实现HoneySelect2完美汉化与MOD整合 【免费下载链接】HS2-HF_Patch Automatically translate, uncensor and update HoneySelect2! 项目地址: https://gitcode.com/gh_mirrors/hs/HS2-HF_Patch HS2-HF Patch是专为HoneySelect2玩家设计的一站…