Token CSRF inválido 'null' encontrado no parâmetro de solicitação '_csrf' ou cabeçalho 'X-CSRF-TOKEN'

Depois de configurar o Spring Security 3.2, _csrf.tokennão está vinculado a uma solicitação ou a um objeto de sessão.

Esta é a configuração de segurança da primavera:

<http pattern="/login.jsp" security="none"/>

<http>
    <intercept-url pattern="/**" access="ROLE_USER"/>
    <form-login login-page="/login.jsp"
                authentication-failure-url="/login.jsp?error=1"
                default-target-url="/index.jsp"/>
    <logout/>
    <csrf />
</http>

<authentication-manager>
    <authentication-provider>
        <user-service>
            <user name="test" password="test" authorities="ROLE_USER/>
        </user-service>
    </authentication-provider>
</authentication-manager>

O arquivo login.jsp

<form name="f" action="${contextPath}/j_spring_security_check" method="post" >
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
    <button id="ingresarButton"
            name="submit"
            type="submit"
            class="right"
            style="margin-right: 10px;">Ingresar</button>
    <span>
        <label for="usuario">Usuario :</label>
        <input type="text" name="j_username" id="u" class="" value=''/>
    </span>
    <span>
        <label for="clave">Contrase&ntilde;a :</label>

        <input type="password"
               name="j_password"
               id="p"
               class=""
               onfocus="vc_psfocus = 1;"
               value="">
    </span>
</form>

E ele renderiza o próximo html:

<input type="hidden" name="" value="" />

O resultado é o status HTTP 403:

Invalid CSRF Token 'null' was found on the request parameter '_csrf' or header 'X-CSRF-TOKEN'.

UPDATE Depois de alguma depuração, o objeto de solicitação sai de forma fina DelegatingFilterProxy, mas na linha 469 de CoyoteAdapter ele executa request.recycle (); que apaga todos os atributos ...

Testo no Tomcat 6.0.36, 7.0.50 com JDK 1.7.

Eu não entendi esse comportamento, ao invés de, seria possível se alguém me apontasse na direção de alguma guerra de amostra de aplicativo com Spring Security 3.2 que funciona com CSRF.

Parece que a proteção CSRF (Cross Site Request Forgery) em seu aplicativo Spring está habilitada. Na verdade, ele está habilitado por padrão.

De acordo com spring.io :

Quando você deve usar a proteção contra CSRF? Nossa recomendação é usar proteção CSRF para qualquer solicitação que possa ser processada por um navegador por usuários normais. Se você estiver criando um serviço que é usado apenas por clientes sem navegador, provavelmente desejará desativar a proteção CSRF.

Então, para desativá-lo:

@Configuration
public class RestSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.csrf().disable();
  }
}

Se você deseja manter a proteção contra CSRF ativada, deverá incluir em seu formulário o csrftoken. Você pode fazer assim:

<form .... >
  ....other fields here....
  <input type="hidden"  name="${_csrf.parameterName}"   value="${_csrf.token}"/>
</form>

Você pode até incluir o token CSRF na ação do formulário:

<form action="./upload?${_csrf.parameterName}=${_csrf.token}" method="post" enctype="multipart/form-data">

Você não deveria adicionar ao formulário de login ?;

<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/> 

Conforme declarado aqui na documentação de segurança do Spring

Se você aplicar security="none", nenhum token csrf será gerado. A página não passará pelo filtro de segurança. Use a função ANONYMOUS.

Não entrei em detalhes, mas está funcionando para mim.

 <http auto-config="true" use-expressions="true">
   <intercept-url pattern="/login.jsp" access="hasRole('ANONYMOUS')" />
   <!-- you configuration -->
   </http>

Tente mudar isto: <csrf /> a isto: <csrf disabled="true"/>. Deve desativar o csfr.

Com o thymeleaf você pode adicionar:

<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>

Documentação do Spring para desativar csrf: https://docs.spring.io/spring-security/site/docs/current/reference/html/csrf.html#csrf-configure

@EnableWebSecurity
public class WebSecurityConfig extends
WebSecurityConfigurerAdapter {

   @Override
   protected void configure(HttpSecurity http) throws Exception {
      http.csrf().disable();
   }
}

Eu costumava ter o mesmo problema.

Sua configuração usa security = "none", portanto não pode gerar _csrf:

<http pattern="/login.jsp" security="none"/>

você pode definir access = "IS_AUTHENTICATED_ANONYMOUSLY" para a página /login.jsp substituir configuração acima:

<http>
    <intercept-url pattern="/login.jsp*" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
    <intercept-url pattern="/**" access="ROLE_USER"/>
    <form-login login-page="/login.jsp"
            authentication-failure-url="/login.jsp?error=1"
            default-target-url="/index.jsp"/>
    <logout/>
    <csrf />
</http>

eu acho que csrf só funciona com formas de mola

<%@ taglib prefix="form" uri="http://www.springframework.org/tags/form" %>

mude para form:formtag e veja se funciona.

Por favor, veja meu aplicativo de amostra de trabalho no Github e compare com sua configuração.

Nenhuma das soluções funcionou comigo. O único que funcionou para mim na forma de primavera é:

action = "./ upload? $ {_ csrf.parameterName} = $ {_ csrf.token}"

SUBSTITUÍDO POR:

action = "./ upload? _csrf = $ {_ csrf.token}"

(Spring 5 com csrf habilitado na configuração java)

Em seu controlador, adicione o seguinte:

@RequestParam(value = "_csrf", required = false) String csrf

E na página jsp adicione

<form:form modelAttribute="someName" action="someURI?${_csrf.parameterName}=${_csrf.token}