SpringBoot中什么是CSRF攻击？

CSRF（Cross-Site Request Forgery，跨站请求伪造）是一种网络攻击，攻击者通过欺骗用户在应用程序中执行未经授权的操作。攻击者利用用户在受信任网站中已经登录的凭证，通过伪造请求，以用户的身份执行一些操作，例如更改密码、发起转账等。

CSRF 攻击通常利用了浏览器对于同一域下的请求默认携带 Cookie 的特性。攻击者通过在第三方网站上植入恶意代码，使用户在受信任站点上执行操作时，同时发送伪造请求到目标站点。

Spring Security 是 Spring 框架提供的安全框架，用于保护 Spring 应用程序。Spring Security 提供了防御 CSRF 攻击的机制，通常通过在应用程序中配置 CSRF 保护来实现。

在 Spring Security 中防御 CSRF 攻击通常包括以下步骤：

1. 启用 CSRF 保护： 在 Spring Security 配置中启用 CSRF 保护。

   @EnableWebSecurity
   public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
   
       @Override
       protected void configure(HttpSecurity http) throws Exception {
           http
               .csrf().csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
               .and()
               // other security configurations...
               .authorizeRequests()
               .antMatchers("/public/**").permitAll()
               .anyRequest().authenticated();
       }
   }
   

   上述配置使用 CookieCsrfTokenRepository 来配置 CSRF 保护，并设置 httpOnly 为 false，以便在前端应用中能够获取 CSRF 令牌。

2. 在表单中包含 CSRF 令牌： 在应用程序的表单中包含 CSRF 令牌。在 Thymeleaf 中，可以使用如下方式：

   <form th:action="@{/some-action}" method="post">
       <input type="hidden" th:name="{_csrf.parameterName}" th:value="{_csrf.token}"/>
       <!-- other form fields... -->
       <button type="submit">Submit</button>
   </form>
   

   在 JSP 中：

   <form action="/some-action" method="post">
       <input type="hidden" name="{_csrf.parameterName}" value="{_csrf.token}"/>
       <!-- other form fields... -->
       <button type="submit">Submit</button>
   </form>
   

   这样，每次提交表单时，都会携带一个有效的 CSRF 令牌，防止 CSRF 攻击。

通过以上方式配置 CSRF 保护，Spring Security 将帮助你防范 CSRF 攻击，确保只有来自你的应用程序的请求才能成功执行敏感操作。