Настройка CSRF для весеннего веб-сокета

По умолчанию Spring Security требует маркер CSRF в любом типе сообщения CONNECT. Это гарантирует, что только сайт, имеющий доступ к токену CSRF, сможет подключиться. Поскольку только один и тот же источник может получить доступ к токену CSRF, внешним доменам не разрешено устанавливать соединение.

Spring Security 4.0 представила поддержку авторизации для WebSockets через абстракцию Spring Messaging.

В Spring Security 5.8 эта поддержка была обновлена ​​для использования API AuthorizationManager.

Чтобы настроить авторизацию с помощью конфигурации Java, просто включите аннотацию @EnableWebSocketSecurity и опубликуйте AuthorizationManager<Message<?>> bean-компонент или в XML используйте атрибут use-authorization-manager. Один из способов сделать это — использовать AuthorizationManagerMessageMatcherRegistry для указания шаблонов конечных точек следующим образом:

@Configuration
@EnableWebSocketSecurity

public class WebSocketSecurityConfig {
@Bean
AuthorizationManager<Message<?>> messageAuthorizationManager(MessageMatcherDelegatingAuthorizationManager.Builder messages) {
    messages
            .simpDestMatchers("/user/**").authenticated()

    return messages.build();
    }
}

1. Любому входящему сообщению CONNECT требуется действительный токен CSRF для обеспечения соблюдения Политики единого источника.
2. SecurityContextHolder заполняется пользователем в атрибуте заголовка simpUser для любого входящего запроса.
3. Наши сообщения требуют соответствующей авторизации. В частности, для любого входящего сообщения, начинающегося с «/user/», потребуется ROLE_USER. Дополнительную информацию об авторизации можно найти в [websocket-authorization]

На данный момент CSRF нельзя настроить при использовании @EnableWebSocketSecurity, хотя это, вероятно, будет добавлено в будущем выпуске.

Чтобы отключить CSRF, вместо использования @EnableWebSocketSecurity вы можете использовать поддержку XML или самостоятельно добавить компоненты Spring Security, например:

Джава

@Configuration
public class WebSocketSecurityConfig implements WebSocketMessageBrokerConfigurer {
    @Override
    public void addArgumentResolvers(List<HandlerMethodArgumentResolver> argumentResolvers) {
        argumentResolvers.add(new AuthenticationPrincipalArgumentResolver());
    }

    @Override
    public void configureClientInboundChannel(ChannelRegistration registration) {
        AuthorizationManager<Message<?>> myAuthorizationRules = AuthenticatedAuthorizationManager.authenticated();
        AuthorizationChannelInterceptor authz = new AuthorizationChannelInterceptor(myAuthorizationRules);
        AuthorizationEventPublisher publisher = new SpringAuthorizationEventPublisher(this.context);
        authz.setAuthorizationEventPublisher(publisher);
        registration.interceptors(new SecurityContextChannelInterceptor(), authz);
   }
}

Веб.xml

<websocket-message-broker use-authorization-manager = "true" same-origin-disabled = "true">
    <intercept-message pattern = "/**" access = "authenticated"/>
</websocket-message-broker>

С другой стороны, если вы используете legacy-websocket-configuration и хотите разрешить другим доменам доступ к вашему сайту, вы можете отключить защиту Spring Security. Например, в конфигурации Java вы можете использовать следующее:

@Configuration
public class WebSocketSecurityConfig extends AbstractSecurityWebSocketMessageBrokerConfigurer {

...

    @Override
    protected boolean sameOriginDisabled() {
        return true;
    }
}

Рекомендации

• Безопасность веб-сокетов — Spring Security