HTTP状态403-找不到预期的CSRF令牌。会话是否已过期？

  • Z时代
  • 2024-01-10
  • 分类：问答

我有一个Spring

MVC应用程序，视图层是基于jsp的。有时我收到此错误消息，并且此消息为true，会话确实过期了。如果我再次登录就可以了。我正在使用以下机制发送CSRF令牌：在开头部分中添加了2个元标记：

<meta name="_csrf" content="${_csrf.token}" /> 
<meta name="_csrf_header" content="${_csrf.headerName}" />

在每个Ajax调用中，都会检索令牌和标头：

var token = $("meta[name='_csrf']").attr("content");
var header = $("meta[name='_csrf_header']").attr("content");

然后使用XMLHttpRequest发送此标头和令牌：

$.ajax({
        type : "GET",
        url : xxx,
        beforeSend : function(xhr) {
            xhr.setRequestHeader(header, token);
        },
        complete : function() {
        },
        success : function(response) {
        }       
});

大多数jsp页面就是这种情况。我试图在警报消息中捕获令牌并起作用。如果会话已通过一个页面过期，我想将用户重定向到登录页面，该页面将显示用户被重定向的原因。怎么办呢？

在服务器端Spring中，我们使用了基于xml的配置：

<http auto-config="true"  use-expressions="true">
  ...
  <csrf/>
</http>

回答：

我在application-security.xml中添加了以下代码，它解决了此特定情况下的问题，尽管在其他一些情况下我面临CSRF异常：

<http auto-config="true"  use-expressions="true">
...
<session-management invalid-session-url="/login">
        <concurrency-control expired-url="/login" />
    </session-management>
</http>

以上是 HTTP状态403-找不到预期的CSRF令牌。会话是否已过期？ 的全部内容， 来源链接： utcz.com/qa/410507.html

回到顶部