Spring Boot 使用 Spring Security 后无法 POST 提交数据解决方法

【问题描述】

项目使用的是 spring-boot + spring-security，页面用了 thymeleaf 模板

页面代码如下：

<form method="post" action="/login">
username: <input type="text" name="userName" />
<br />
password: <input type="password" name="password" />
<br />
<button type="submit">Submit</button>
</form>

登录操作代码：

/**
* 登录操作；
*
* @param userName 用户名；
* @param password 密码；
* @param modelMap
* @param session
* @return
*/
@RequestMapping(value = "/login", method = RequestMethod.POST)
public String doLogin(@RequestParam(value = "userName", required = true) String userName,
@RequestParam(value = "password", required = true) String password,
ModelMap modelMap, HttpSession session) {
// 登录处理逻辑（此处省去）；
}

登录页面



本该很简单的一个提交，然而点击 Submit 后出错：



提示缺少 “_csrf” 参数或 'X-CSRF-TOKEN' 头部。

【原因】
使用了 spring-security 后，默认开启了防止跨域攻击的功能，任何 POST 提交到后台的表单都要验证是否带有 _csrf 参数，一旦传来的 _csrf 参数不正确，服务器便返回 403 错误；

解决方法一：form 表单中添加 _csrf 隐藏域

<form method="post" action="/login">
username: <input type="text" name="userName" />
<br />
password: <input type="password" name="password" />
<br />
<!-- 添加隐藏域 -->
<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>
<button type="submit">Submit</button>
</form>

以上代码相对之前代码，添加了

<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>

做为提交到后台的 _csrf 值；

解决方法二：form 表单使用 th:form 属性， thymeleaf 会自动在
form 表单中生成 _csrf 隐藏域；

<form method="post" th:action="@{/login}">
username: <input type="text" name="userName" />
<br />
password: <input type="password" name="password" />
<br />
<button type="submit">Submit</button>
</form>

解决方法三：关闭防跨域攻击功能，使用 http.csrf().disable()：

package com.shawearn.blog.security;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
/**
* Created by Shawearn on 4/24/2017.
*/
@Configuration
@EnableWebSecurity
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable();
// 省略其他代码；
}
@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
// 代码省略...
}
}

【总结】
个人比较推荐方法二；
方法一需要手动在 form 表单中添加 _csrf 隐藏域，比较麻烦，个人并不怎么推荐；
方法三有点儿简单粗暴，如果网站没必要防止跨域攻击的，可以直接用方法三；