Spring Securityを利用したRestAPIでCSRFトークンを利用したい

Question

実現したいこと

以下のサイトを参考にSpring SecurityでCSRFトークンを利用したRestAPIの開発を行っています。
https://volkruss.com/posts/p3398/
最終的には上記サイトと同様にCSRFトークンを付与したPOST送信をPostmanから行うとStatus200でPOSTメソッドが正常終了することを目指したいです。

発生している問題・分からないこと

ヘッダーにX-XSRF-TOKENの値を付与してPOST送信を行っても403エラーが返却されreturn値を取得することができません。

・GET通信でXSRF-TOKENを取得

・ヘッダーにX-XSRF-TOKENを付与してPOST通信すると403エラー

403エラーが発生している原因及び対処法をご教示いただきたいです。

エラーメッセージ

{
    "timestamp": "2024-03-23T02:15:12.423+00:00",
    "status": 403,
    "error": "Forbidden",
    "message": "Forbidden",
    "path": "/post"
}

追記
以下のエラーがコンソールに出力されていました。
「Invalid CSRF token found」とあるのでトークンは渡せているが無効なトークンということでしょうか。
Postmanでのトークンの受け渡し方法などに不適な部分がありましたらご教示お願い致します。

o.s.security.web.FilterChainProxy  Securing POST /post
o.s.security.web.csrf.CsrfFilter  Invalid CSRF token found for http://localhost:8080/post
o.s.s.w.access.AccessDeniedHandlerImpl  Responding with 403 status code
o.s.security.web.FilterChainProxy  Securing POST /error
o.s.security.web.FilterChainProxy  Secured POST /error
o.s.s.w.a.AnonymousAuthenticationFilter  Set SecurityContextHolder to anonymous SecurityContext

該当のソースコード

package com.example.demo.login;

import java.util.Arrays;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.csrf.CookieCsrfTokenRepository;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;

@Configuration
@EnableWebSecurity
public class SecurityConfig {
	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

				http.csrf((csrf) -> csrf
				.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()));
			
		http.authorizeHttpRequests(authorize -> {
			authorize
					.requestMatchers("/**").permitAll();
		});

		http.cors(cors -> cors.configurationSource(corsConfigurationSource()));

		return http.build();
	}

	//CORSの設定
	@Bean
	public CorsConfigurationSource corsConfigurationSource() {
		CorsConfiguration cors = new CorsConfiguration();
		cors.setAllowedOrigins(Arrays.asList("http://localhost:4200"));
		cors.setAllowedMethods(Arrays.asList("GET", "POST"));
		cors.setAllowedHeaders(Arrays.asList("*"));
	    // cookieなどの情報を許可
	    cors.setAllowCredentials(true);
	    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
	    source.registerCorsConfiguration("/**",cors);
		return source;
	}
}

package com.example.demo.controller;

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class testController {
	@GetMapping("/get")
	public String doGet() {
		return "sample GET is done";
	}
	
	@PostMapping("/post")
	public String doPost() {
		return "sample POST is done";
	}
}

試したこと・調べたこと

• teratailやGoogle等で検索した
• ソースコードを自分なりに変更した
• 知人に聞いた
• その他

上記の詳細・結果

・get,post通信を行うために自作のcontrollerを作成しました。
get通信は正常に行えますがpost通信で403エラーが発生しました。

・SecurityConfig.javaに以下のコードを追加してCSRF対策無効化すると正常にPOST送信が行えました。
http.csrf().disable();

補足

setAllowedOriginsの値は参考サイトでは
(Arrays.asList("http://localhost:3000"));
となっていますが、後々AngularからPOST通信を行いたいため
(Arrays.asList("http://localhost:4200"));
に変更しています。
3000番も試しましたが結果は同様でした。

spring-boot-starter-parent：3.2.4
Spring Security Version： 6.2.3
Eclipse IDE for Java Developers Version: 2023-12 (4.30.0)
Postman for Windows：10.24.7

よろしくお願いいたします。

Comments

[houpuw]

以下を参考にPostmanからトークンを送信するよう設定しましたが結果は同様でした。
https://www.baeldung.com/postman-send-csrf-token

Answer 1

以下のサイトを参考にSecurityFilterChainの内容を修正しました。
https://www.linkedin.com/pulse/solving-invalid-csrf-token-found-error-spring-security-oyeleye

		http.csrf((csrf) -> csrf
			.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());

		http.csrf((csrf) -> csrf
			.csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse())
			.csrfTokenRequestHandler(new CsrfTokenRequestAttributeHandler()));