«csrf-protection» 태그된 질문

애플리케이션이 상태 비 저장 인증 (HMAC과 같은 것을 사용)에 의존 할 때 CSRF 보호를 사용해야합니까? 예: 단일 페이지 앱이 있습니다 (그렇지 않으면 각 링크에 토큰을 추가해야합니다 : <a href="...?token=xyz">...</a>. 사용자는 POST /auth. 인증이 성공하면 서버는 일부 토큰을 반환합니다. 토큰은 단일 페이지 앱 내의 일부 변수에 JavaScript를 통해 저장됩니다. 이 토큰은와 …

125 authentication  csrf  single-page-application  stateless  csrf-protection 

Spring Security 3.2를 구성한 후 _csrf.token요청 또는 세션 개체에 바인딩되지 않습니다. 이것은 스프링 보안 구성입니다. <http pattern="/login.jsp" security="none"/> <http> <intercept-url pattern="/**" access="ROLE_USER"/> <form-login login-page="/login.jsp" authentication-failure-url="/login.jsp?error=1" default-target-url="/index.jsp"/> <logout/> <csrf /> </http> <authentication-manager> <authentication-provider> <user-service> <user name="test" password="test" authorities="ROLE_USER/> </user-service> </authentication-provider> </authentication-manager> login.jsp 파일 <form name="f" action="${contextPath}/j_spring_security_check" method="post" > <input type="hidden" name="${_csrf.parameterName}" …

91 spring  spring-security  csrf  csrf-protection