Come utilizzare la funzionalità CSRF di Spring Security per gli end point stateless?

Question

Sto utilizzando Spring Security con un servizio Web stateless. Mi piacerebbe utilizzare le funzionalità CSRF in Spring Security 3.2. È possibile con un'app web stateless?

Questa è la relativa configurazione di Java, dal momento che ho dovuto disabilitare CSRF per il momento.

@Override 
protected void configure(HttpSecurity http) throws Exception { 
    http 
      .sessionManagement() 
       .sessionCreationPolicy(SessionCreationPolicy.STATELESS) 
       .sessionFixation().none().and() 
      .csrf().disable(); 
} 

Answer 1

Se il servizio è davvero senza stato, la protezione CSRF potrebbe non avere alcun senso. Finché il server non utilizza i cookie per identificare/autenticare l'utente, il servizio non è vulnerabile agli attacchi CSRF.

Per una spiegazione dettagliata, vedere http://sitr.us/2011/08/26/cookies-are-bad-for-you.html