0

В моём проекте у формы отправки данных (юзернем, пароль) есть такой параметр:

<input type="hidden" name="${_csrf.parameterName}"
                value="${_csrf.token}" />

Если эти строчки закомментить, то я получаю ошибку HTTP Status 405 - Request method 'POST' not supported Можете объяснить, пожалуйста, что это за _csrf.token для чего нужен и с чем его едят?

P.S. У меня Spring 3, ниже код моего spring-security.xml

<beans:beans xmlns="http://www.springframework.org/schema/security"
    xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
    http://www.springframework.org/schema/security
    http://www.springframework.org/schema/security/spring-security-3.2.xsd">

    <!-- enable use-expressions -->
    <http auto-config="true" use-expressions="true">
        <intercept-url pattern="/admin**" access="hasRole('ROLE_ADMIN')" />

        <!-- access denied page -->
        <access-denied-handler error-page="/403" />
        <form-login 
            login-page="/login" 
            default-target-url="/welcome" 
            authentication-failure-url="/login?error" 
            username-parameter="username"
            password-parameter="password" />
        <logout logout-success-url="/login?logout"  />
        <!-- enable csrf protection -->
        <csrf/>
    </http>

    <!-- Select users and user_roles from database -->
    <authentication-manager>
        <authentication-provider>
            <jdbc-user-service data-source-ref="dataSource"
                users-by-username-query=
                    "select username,password, enabled from users where username=?"
                authorities-by-username-query=
                    "select username, role from user_roles where username =?  " />
        </authentication-provider>
    </authentication-manager>

</beans:beans>

Код login.jsp

<%@ page language="java" contentType="text/html; charset=UTF-8"
         pageEncoding="UTF-8"%>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<%@page session="true"%>
<html>
<head>
<title>Login Page</title>
<style>
.error {
    padding: 15px;
    margin-bottom: 20px;
    border: 1px solid transparent;
    border-radius: 4px;
    color: #a94442;
    background-color: #f2dede;
    border-color: #ebccd1;
}

.msg {
    padding: 15px;
    margin-bottom: 20px;
    border: 1px solid transparent;
    border-radius: 4px;
    color: #31708f;
    background-color: #d9edf7;
    border-color: #bce8f1;
}

#login-box {
    width: 300px;
    padding: 20px;
    margin: 100px auto;
    background: #fff;
    -webkit-border-radius: 2px;
    -moz-border-radius: 2px;
    border: 1px solid #000;
}
</style>
</head>
<body onload='document.loginForm.username.focus();'>

    <div id="login-box">
        <h3>Login with Username and Password</h3>

        <c:if test="${not empty error}">
            <div class="error">${error}</div>
        </c:if>
        <c:if test="${not empty msg}">
            <div class="msg">${msg}</div>
        </c:if>

        <form name='loginForm'
            action="<c:url value='/j_spring_security_check' />" method='POST'>

            <table>
                <tr>
                    <td>User:</td>
                    <td><input type='text' name='username'></td>
                </tr>
                <tr>
                    <td>Password:</td>
                    <td><input type='password' name='password' /></td>
                </tr>
                <tr>
                    <td colspan='2'><input name="submit" type="submit"
                        value="submit" /></td>
                </tr>
            </table>

            <input type="hidden" name="${_csrf.parameterName}"
                value="${_csrf.token}" />

        </form>
    </div>

</body>
</html>
4
  • CSRF. Вообще странно, что ошибка именно 405. Выложите лучше код самой формы.
    – Sapphiron
    7 фев 2016 в 14:51
  • секунду сейчас прикреплю выше 7 фев 2016 в 14:52
  • В общем, csrf-это защита от кросс-доменных запросов. Если она включена, а токен не передается, то спринг считает, что это может быть запрос с чужого сайта и блокирует его. Отключить ее можно, убрав <csrf/> из spring-security.xml.
    – Sapphiron
    7 фев 2016 в 14:55
  • Огромное спасибо, не могли бы подсказать, а что передаётся в этом input'e? Можете скопировать в ответ я отмечу. 7 фев 2016 в 14:57

2 ответа 2

2

CSRF-это защита от кросс-доменных запросов.

Если она включена, а токен не передается, то spring считает, что это может быть запрос с чужого сайта и блокирует его. Отключить ее можно, убрав из spring-security.xml

В самом инпуте находится токен вида 48248eae-70c9-4911-b587-94abbce08929, который генерирует spring. Получая форму, он сравнивает, что токен совпадает с тем, который он выставил.

1

CSRF в Википедии.

В Spring Security защита от CSRF по умолчанию включена. Отключается так:

<http>
    ...
    <csrf disabled="true" />
</http>

Разумеется, input из формы можно будет удалить.

Другой вариант - оставить поддержку CSRF, и к каждому действию, изменяющему состояние системы, добавлять скрытое поле с токеном (в том числе и к logout).

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.