其他服务和CSRF

Question

我有许多单页应用程序访问的服务。我想跨这些应用程序启用CSRF，但是如果它们各自拥有自己的CSRF令牌库，那么即使它们共享相同的会话，我也会为不同的应用程序提供不同的令牌问题。

是否有一个共享的CSRF令牌存储实现，即服务共享一个共同的令牌生成/验证机制？

Answer 1

在Spring Security中，默认情况下，CSRF令牌存储在会话中（请参阅HttpSessionCsrfTokenRepository）。因此，如果您的应用程序共享同一个会话，则应将它们配置为共享CSRF令牌。