弹簧安全CSRF保护

Question

我在春季documentation读到需要使用post方法提交注销。例如：

<c:url var="logoutUrl" value="/problemSolution/logout"/>
<form action="${logoutUrl}" id="logout" method="post">
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
</form>
<a href="#" onclick="document.getElementById('logout').submit();">Logout</a>

为什么会这样？

Answer 1

因为如果它是一个GET，那么其他人可以让你退出，这很烦人。

您转到compromised.com

他们运行一个向yourbank.com/logout发送GET请求的脚本

您已退出yourbank.com