SpringBoot安全防护大全：HTTPS配置与CSRF防御实战

最新推荐文章于 2026-04-12 00:00:00 发布

原创最新推荐文章于 2026-04-12 00:00:00 发布 · 581 阅读

4 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#spring boot #安全 #https

Web 专栏收录该内容

583 篇文章

订阅专栏

🎓博主介绍：Java、Python、js全栈开发 “多面手”，精通多种编程语言和技术，痴迷于人工智能领域。秉持着对技术的热爱与执着，持续探索创新，愿在此分享交流和学习，与大家共进步。
📖DeepSeek-行业融合之万象视界(附实战案例详解100+)
📖全栈开发环境搭建运行攻略：多语言一站式指南(环境搭建+运行+调试+发布+保姆级详解)
👉感兴趣的可以先收藏起来，希望帮助更多的人

SpringBoot安全防护大全：HTTPS配置与CSRF防御实战

一、引言

在当今数字化时代，网络安全至关重要。对于基于Spring Boot构建的Web应用程序而言，保障数据传输的安全性和防止跨站请求伪造（CSRF）攻击是必不可少的。本文将详细介绍Spring Boot中HTTPS的配置方法以及CSRF防御的实战技巧，帮助技术人员全面提升应用程序的安全性。

二、HTTPS配置

2.1 理解HTTPS

HTTPS（Hypertext Transfer Protocol Secure）是超文本传输协议（HTTP）的安全版本，它通过使用SSL/TLS协议对数据进行加密传输，防止数据在传输过程中被窃取或篡改。在Spring Boot应用中配置HTTPS可以增强用户与服务器之间通信的安全性。

2.2 生成SSL证书

在配置HTTPS之前，需要生成一个SSL证书。可以使用Java的keytool工具来生成自签名证书，以下是生成证书的步骤：

打开命令行工具，进入到想要保存证书的目录。
执行以下命令生成自签名证书：

keytool -genkeypair -alias myapp -keyalg RSA -keysize 2048 -storetype PKCS12 -keystore myapp.p12 -validity 3650

-alias：证书的别名，可自定义。
-keyalg：密钥算法，这里使用RSA。
-keysize：密钥长度，2048位。
-storetype：密钥库类型，使用PKCS12。
-keystore：密钥库文件名，可自定义。
-validity：证书有效期，这里设置为3650天。

2.3 在Spring Boot中配置HTTPS

将生成的myapp.p12文件复制到Spring Boot项目的src/main/resources目录下。然后在application.properties或application.yml中进行如下配置：

application.properties配置示例：

server.port=8443
server.ssl.key-store=classpath:myapp.p12
server.ssl.key-store-password=your_password
server.ssl.key-store-type=PKCS12
server.ssl.key-alias=myapp

application.yml配置示例：

server:
  port: 8443
  ssl:
    key-store: classpath:myapp.p12
    key-store-password: your_password
    key-store-type: PKCS12
    key-alias: myapp

2.4 HTTP重定向到HTTPS

为了确保所有的请求都通过HTTPS进行访问，可以将HTTP请求重定向到HTTPS。可以通过配置一个TomcatServletWebServerFactory bean来实现：

import org.apache.catalina.Context;
import org.apache.catalina.connector.Connector;
import org.apache.tomcat.util.descriptor.web.SecurityCollection;
import org.apache.tomcat.util.descriptor.web.SecurityConstraint;
import org.springframework.boot.web.embedded.tomcat.TomcatServletWebServerFactory;
import org.springframework.boot.web.servlet.server.ServletWebServerFactory;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class TomcatConfig {

    @Bean
    public ServletWebServerFactory servletContainer() {
        TomcatServletWebServerFactory tomcat = new TomcatServletWebServerFactory() {
            @Override
            protected void postProcessContext(Context context) {
                SecurityConstraint securityConstraint = new SecurityConstraint();
                securityConstraint.setUserConstraint("CONFIDENTIAL");
                SecurityCollection collection = new SecurityCollection();
                collection.addPattern("/*");
                securityConstraint.addCollection(collection);
                context.addConstraint(securityConstraint);
            }
        };
        tomcat.addAdditionalTomcatConnectors(redirectConnector());
        return tomcat;
    }

    private Connector redirectConnector() {
        Connector connector = new Connector(TomcatServletWebServerFactory.DEFAULT_PROTOCOL);
        connector.setScheme("http");
        connector.setPort(8080);
        connector.setSecure(false);
        connector.setRedirectPort(8443);
        return connector;
    }
}

三、CSRF防御

3.1 理解CSRF攻击

跨站请求伪造（CSRF）是一种常见的Web攻击方式，攻击者通过诱导用户在已登录的网站上执行恶意操作。例如，用户在已登录的银行网站上，攻击者诱导用户访问一个恶意网站，该网站会向银行网站发送一个恶意请求，由于用户已经登录，银行网站会认为这是一个合法的请求，从而执行恶意操作。

3.2 Spring Boot中的CSRF防御机制

Spring Boot默认开启了CSRF防御机制，它通过在表单中添加一个隐藏的CSRF令牌，并在服务器端验证该令牌的有效性来防止CSRF攻击。

3.3 配置CSRF防御

3.3.1 基于表单的CSRF防御

在使用Thymeleaf等模板引擎时，Spring Boot会自动在表单中添加CSRF令牌。例如，以下是一个简单的Thymeleaf表单：

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>CSRF Example</title>
</head>
<body>
    <form action="#" th:action="@{/submit}" method="post">
        <input type="text" name="data" placeholder="Enter data">
        <input type="submit" value="Submit">
    </form>
</body>
</html>

Spring Boot会自动在表单中添加一个隐藏的_csrf字段，包含CSRF令牌。

3.3.2 基于AJAX的CSRF防御

在使用AJAX进行请求时，需要手动添加CSRF令牌。可以通过以下方式获取CSRF令牌：

var csrfToken =$("meta[name='_csrf']").attr("content");
var csrfHeader =$("meta[name='_csrf_header']").attr("content");

$.ajax({
    url: "/submit",
    type: "POST",
    headers: {
        [csrfHeader]: csrfToken
    },
    data: {
        data: "example data"
    },
    success: function(response) {
        console.log(response);
    }
});

在HTML页面中添加以下元标签来提供CSRF令牌信息：

<meta name="_csrf" th:content="${_csrf.token}"/>
<meta name="_csrf_header" th:content="${_csrf.headerName}"/>

3.3.3 禁用CSRF防御（不推荐）

在某些特殊情况下，可能需要禁用CSRF防御。可以通过配置WebSecurityConfigurerAdapter来禁用CSRF：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable();
    }
}