CSRF в Spring + Thymeleaf + Ajax + Restful API

Question

Я включил CSRF в приложении Spring + Thymeleaf. Хорошо, что Thymeleaf автоматически позаботится о добавлении CSRF к каждой форме <> в html. Проблема в том, что запросы Ajax, отправляющие эти формы, теперь терпят неудачу, и я хочу знать, есть ли стандартное решение для этого.

Другая проблема, с другой стороны, в том, что мое приложение будет поддерживать Restful API. Когда я включаю CSRF в моем приложении, аутентификация от клиента с использованием API завершается с ошибкой. Итак, вопрос в том, есть ли способ включить CSRF для просмотра веб-страниц и отключить его для моего Restful API? С другой стороны, отключение CSRF делает уязвимые API уязвимыми для атак, если злоумышленник знает о них. Так в чем же лучшая практика?

Благодаря

Answer 1

Для Первый сценарий, чтобы представить форму с помощью Ajax позвонить вам необходимо вручную добавить скрытый ввод генерируемый CSRF в форме. Для второго случая вы можете исключить некоторый URL-адрес от перехватчика в вашем случае, вы можете исключить URL-адрес из перехватчика CSRF.

исключить тег присутствует весной 3.2

<mvc:interceptor> 
<mvc:exclude-mapping path="/your_url"/> 
</mvc:interceptors>