Könnte die mitgelieferte CSRF-Token nicht überprüfen, weil die Sitzung nicht im Frühjahr Sicherheit

Question

gefunden wurde ich Frühling Sicherheit verwenden zusammen mit Java-Config

@Override 
protected void configure(HttpSecurity http) throws Exception { 
    http 
    .authorizeRequests() 
    .antMatchers("/api/*").hasRole("ADMIN") 
    .and() 
    .addFilterAfter(new CsrfTokenResponseHeaderBindingFilter(), CsrfFilter.class) 
    .exceptionHandling() 
    .authenticationEntryPoint(restAuthenticationEntryPoint) 
    .and() 
    .formLogin() 
    .successHandler(authenticationSuccessHandler) 
    .failureHandler(new SimpleUrlAuthenticationFailureHandler()); 

ich PostMan bin mit meinem REST-Service für das Testen. Ich erhalte 'csrf-Token' erfolgreich und ich kann mich anmelden, indem ich X-CSRF-TOKEN im Anfrage-Header benutze. Aber nach dem Login, wenn ich post-Anfrage (ich bin mit gleichen Token in Anfrage Header, die ich für Login-Anfrage verwendet) Ich bekomme die folgende Fehlermeldung:

HTTP-Status 403 - Konnte das CSRF-Token nicht überprüfen, weil Ihre Sitzung wurde nicht gefunden.

Kann mir jemand sagen, was ich falsch mache.

Answer 1

Ich habe es gelöst, indem ich das letzte Attribut in meiner Anmeldeseite hinzufüge, vielleicht wird es einen Gefallen tun.

<%@ page language="java" import="java.util.*" pageEncoding="UTF-8" isELIgnored="false"%> 

Answer 2

Nach spring.io:

Wann sollten Sie CSRF-Schutz verwenden? Unsere Empfehlung ist CSRF Schutz für jede Anfrage, die von einem Browser von normalen Benutzern verarbeitet werden könnte. Wenn Sie nur einen Dienst erstellen, der von Clients ohne Browser verwendet wird, möchten Sie wahrscheinlich den CSRF-Schutz deaktivieren.

So ist es zu deaktivieren:

@Configuration 
public class RestSecurityConfig extends WebSecurityConfigurerAdapter { 
    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
    http.csrf().disable(); 
    } 
} 

Hinweis: CSRF-Schutz standardmäßig mit Java-Konfiguration aktiviert ist