变化CSRF令牌

Question

我使用CSRF春季安全，像这样

<http auto-config="false" > 
    ... 
    <csrf /> 
    ... 
</http> 

，并把每一个JSP页面这样

<meta name="_csrf" content="${_csrf.token}" /> 
<meta name="_csrf_header" content="${_csrf.headerName}" /> 

的问题是，每次我刷新页面，我想更改令牌。但只要用户登录，令牌不会改变。

Answer 1

Spring默认使用每会话csrf，你可以检查它的实现here。 每个更改令牌，我建议你实现你自己的。并在需要时调用其方法重置令牌。