Webflux multipart / form-data，csrf启用，有和没有文件上传获得无效的CSRF令牌

Question

禁用csrf我可以上传文件，但我需要启用它。仅当表单enctype为multipart / form-data时才会出现此问题，即403的“无效CSRF令牌”。

通常当我将enctype设置为multipart / form-data时，即使对于没有文件上传的表单，我也会得到相同的错误。

使用此依赖项：

<dependency>
  <groupId>org.synchronoss.cloud</groupId>
  <artifactId>nio-multipart-parser</artifactId>
  <version>...</version>
</dependency>

尝试在表单中包含隐藏的csrf输入，并尝试将其附加到URL但同样的错误

    <form  method="post" th:action="${'/add/' + id + '/documents?' + _csrf.headerName + '=' + _csrf.token}"  enctype="multipart/form-data">
        <input type="file" name="documents" multiple="multiple">
        <input  type="hidden"
                th:name="${_csrf.headerName}"
                th:value="${_csrf.token}" />
        <input type="hidden" name="_csrf" th:value="${_csrf.token}">
        <button class="btn btn-success btn-l">Upload</button>
    </form>

为csrf注入提供这样的控制器建议

@ControllerAdvice
public class SecurityAdvice {@ModelAttribute("_csrf")Mono<CsrfToken> csrfToken(final ServerWebExchange exchange) {
    final Mono<CsrfToken> csrfToken = exchange.getAttributeOrDefault(org.springframework.security.web.server.csrf.CsrfToken.class.getName(), Mono.empty());
    return csrfToken;
}

在安全性方面，我有以下bean：

 @Bean
    public ServerCsrfTokenRepository csrfTokenRepository() {
        WebSessionServerCsrfTokenRepository repository =
                new WebSessionServerCsrfTokenRepository();
        repository.setHeaderName("X-CSRF-TK");

        return repository;
    }

并在我的SecurityWebFilterChain中使用它：

.and().csrf().csrfTokenRepository(csrfTokenRepository())

更新：

禁用几个网址的csrf也足够了。找到了一些例子，但它们都是基于Servlet的版本。 https://sdqali.in/blog/2016/07/20/csrf-protection-with-spring-security-and-angular-js/

Answer 1

看看Spring Security的官方推荐：https://docs.spring.io/spring-security/site/docs/current/reference/html/csrf.html#csrf-multipart

基本上有两种方法：（1）在Spring Security过滤器之前放置MultipartFilter，以及（2）在表单操作中包含CSRF令牌，就像你正在做的那样。第一个选项是推荐的选项：

第一个选项是确保在Spring Security过滤器之前指定MultipartFilter。在Spring Security过滤器之前指定MultipartFilter意味着没有授权调用MultipartFilter，这意味着任何人都可以在您的服务器上放置临时文件。但是，只有授权用户才能提交由您的应用程序处理的文件。通常，这是推荐的方法，因为临时文件上载应该对大多数服务器产生可忽略的影响。

为确保在使用java配置的Spring Security过滤器之前指定MultipartFilter，用户可以覆盖beforeSpringSecurityFilterChain，如下所示：

public class SecurityApplicationInitializer extends AbstractSecurityWebApplicationInitializer {

    @Override
    protected void beforeSpringSecurityFilterChain(ServletContext servletContext) {
        insertFilters(servletContext, new MultipartFilter());
    }
}

为确保在使用XML配置的Spring Security过滤器之前指定MultipartFilter，用户可以确保将MultipartFilter的元素放在web.xml中的springSecurityFilterChain之前，如下所示：

<filter>
    <filter-name>MultipartFilter</filter-name>
    <filter-class>org.springframework.web.multipart.support.MultipartFilter</filter-class>
</filter>
<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
    <filter-name>MultipartFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>
<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

请注意，如果您仍想使用表单操作，则可能会泄漏查询参数。尝试将“headerName”更改为“parameterName”：

<form action="./upload?${_csrf.parameterName}=${_csrf.token}" method="post" enctype="multipart/form-data">

编辑：如果您无法切换到基于servlet的容器​​（如Jetty或Tomcat）并且表单操作建议不起作用，最近有一个Stack Overflow thread讨论此问题。

其中一位开发人员报告使用AJAX解决了这个问题：

我解决了这个问题：

• 使用vanilla javascript发送多部分文件，就像在Mozilla's guide中一样
• 在元标记的HTML标题中添加_csrf标记，就像在sending the CSRF token with Ajax的Spring指南中一样
• 而不是使用jquery，将其直接添加到XHR对象

var csrfToken = $("meta[name='_csrf']").attr("content");
  var csrfHeader = $("meta[name='_csrf_header']").attr("content");
  XHR.setRequestHeader(csrfHeader, csrfToken);
  XHR.setRequestHeader('Content-Type','multipart/form-data; boundary=' + boundary);
  XHR.send(data);

同样的开发人员reported this issue to Spring，但还没有得到任何关注。