在csrfFilter中初始化requireCsrfProtectionMatcher的依据是什么

Question

CsrfFilter 有验证

if (!this.requireCsrfProtectionMatcher.matches(request)) {
            filterChain.doFilter(request, response);
            return;
        }

在上面的代码片段中，this.requireCsrfProtectionMatcher 正在初始化为 AndRequestMatcher。但我只想使用 DefaultRequiresCsrfMatcher。任何人都可以提供有关此的更多信息吗？我的安全配置

 @Override
    protected void configure(HttpSecurity http) throws Exception {
          http.csrf().and().
          cors().and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .authorizeRequests()
            .antMatchers("/rest/open/**").permitAll()
            .and().authorizeRequests()
            .antMatchers("/**").authenticated()
            .anyRequest().permitAll()
            .and()
            .oauth2ResourceServer()
            .jwt()
            .jwtAuthenticationConverter(getJwtAuthoritiesConverter());
            

    }

Answer 1

requireCsrfProtectionMatcher 正在用 AndRequestMatcher 初始化，因为您正在使用 oauth2ResourceServer().jwt()。

oauth2ResourceServer DSL 告诉 CsrfFilter 忽略包含 Bearer 令牌的请求。您可以在 source code.

中查看

由于 JWT 身份验证是无状态的，因此您不需要在请求中使用 CSRF 令牌。

在csrfFilter中初始化requireCsrfProtectionMatcher的依据是什么

On what basis requireCsrfProtectionMatcher is initialised in csrfFilter

spring-security

csrf