Spring Securityを用いたCSRF対策の実現方法

Question

Spring SecurityでCSRF対策機能だけ使うには、どのような記述をxmlファイルに追加すればいいのでしょうか？

現在、Spring MVC 4.3.2を用いてWebアプリケーションを作成しています。ユーザー登録・ログイン・ログアウト機能などを、自前で実装し終わったところで、ユーザー登録・ログインフォームにCSRF対策を施したいと考えました。これも自前で実装しても良いのですが、Spring SecurityにCSRF対策を自動で行ってくれる機能があるようなので、それを使うことにしました。Spring Securityの最新版をMavenの依存性に追加し、Web上の情報にしたがって以下の設定をSpringのxmlファイルに追記しました。

<security:http auto-config="true"/>

この状態でアプリケーションを起動したところ、以下のエラーメッセージが表示されました。

org.springframework.beans.factory.NoSuchBeanDefinitionException:
    No bean named 'org.springframework.security.authenticationManager' is defined:
    Did you forget to add a global <authentication-manager> element to your configuration (with child <authentication-provider> elements)?
    Alternatively you can use the authentication-manager-ref attribute on your <http> and <global-method-security> elements.

そこで、xmlファイルの追加記述を以下のように変更しました。

<security:http auto-config="true"/>
<security:authentication-manager/>

この変更でエラーは出ないようになったのですが、CSRFトークンがHTMLに挿入されておらず、困っています。ちなみに、web.xmlの方にはDelegatingFilterProxyを追加済みです。

<filter>
    <filter-name>springSessionRepositoryFilter</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
    <filter-name>springSessionRepositoryFilter</filter-name>
    <url-pattern>/*</url-pattern>
    <dispatcher>REQUEST</dispatcher>
    <dispatcher>ERROR</dispatcher>
</filter-mapping>

ご回答よろしくお願いします。

Comments

[A-pZ]

http://ja.stackoverflow.com/questions/28196/spring-security%E3%81%AB%E3%82%88%E3%82%8Bcsrf%E5%AF%BE%E7%AD%96%E3%81%AE%E5%AE%9F%E7%8F%BE%E6%96%B9%E6%B3%95 にも投稿されていましたのでコメントをしていますが、対象のHTMLないしはJSPも書くと回答が得られるのではないでしょうか。

[退会済みユーザー]

コメントありがとうございます。Thymeleafの方にも修正が必要でしたが、それだけではないようでした。自己解決したので、解決した方法を投稿しました。

Answer 1

自己解決しました。

まず、web.xmlに書くDelegatingFilterProxyですが、質問文に記載してあるものは私がspring-sessionを使うために設定したものでした。てっきりfilter-classが同じなので追加する必要はないと思っていたのですが、filter-nameによって識別されるようで、Spring Security用にspringSecurityFilterChainというfilter-nameでfilterを作成する必要があるようです。

<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

この状態で、Spring Security自体は動くようになったと言えます。しかしながら、bean定義のxmlのほうがこれだとまだ不十分で、今のままだと、どのページにアクセスしようとしてもログインを促されてしまいます（表示されるページはSpring Securityによって用意されたものと思われます）。そこで、http要素を以下のように書き換えます。

<security:http>
    <security:form-login login-page="/login" login-processing-url="login"/>
</security:http>

ここで、login-pageはログインするページのURL、login-processing-urlはログインフォームのsubmit先です。

最後に、公式ドキュメントには

If you are using Spring MVC form:form tag or Thymeleaf 2.1+ and are using @EnableWebSecurity, the CsrfToken is automatically included for you (using the CsrfRequestDataValueProcessor).

と書いてありますが、自動でinputタグが作られるわけではなく、自分でCSRFトークンを入れるinputタグを作ってやらなければならないようです（使用していたのはThymeleaf 2.1.5）。

<input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>