即使在为春季安全提供CSRF令牌之后，服务器仍在投掷403

Question

1。 Spring Security配置：---

  

这是我的配置文件，因为我默认使用spring 4.x CSRF   启用。

<security:http>
<security:intercept-url pattern="/user/**" access="hasRole('USER')" />
<security:form-login login-page="/resources/login.html" />
<security:logout/>
</security:http>

<security:authentication-manager>
    <security:authentication-provider>
    <security:user-service>
     <security:user name="max" authorities="ROLE_USER" password="max"/>
    </security:user-service>
    </security:authentication-provider>
</security:authentication-manager>

2。 CSRF令牌的自定义登录页面：---

  

添加了参考中提到的CSRF令牌和参数名称   文档。

<form action="/web/login/" method="post">
        <input type="text" name="username"><br> <input
            type="password" name="password"><br> <input
            type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
        <input type="submit" value="submit"><br>
</form>

  

我得到＆＃34;无法验证提供的CSRF令牌，因为你的   没有找到会话。＆＃34;我的自定义登录页面，但弹簧拥有   登录页面被调用应用程序正常工作。

     

根据我的分析，$ {_ csrf.parameterName}＆＃34;和   ＆＃34; $ {_ csrf.token}按原样传递。我通过切换验证了这一点   得到的方法。

     

由于这两个参数是什么，我有什么遗漏   没计算？