其他服務和CSRF

Question

我有許多單頁應用程序訪問的服務。我想跨這些應用程序啓用CSRF，但是如果它們各自擁有自己的CSRF令牌庫，那麼即使它們共享相同的會話，我也會爲不同的應用程序提供不同的令牌問題。

是否有一個共享的CSRF令牌存儲實現，即服務共享一個共同的令牌生成/驗證機制？

Answer 1

在Spring Security中，默認情況下，CSRF令牌存儲在會話中（請參閱HttpSessionCsrfTokenRepository）。因此，如果您的應用程序共享同一個會話，則應將它們配置爲共享CSRF令牌。