ionic-framework - 具有多租户和多域 JHipster 后端的 Ionic 中的 CSRF

Question

我有一个 JHipster 多租户后端，tenant[.env].domain.ltd其中包含启用了 csrf 之类的域。我们正在使用 Ionic 制作一个移动应用程序，该应用程序可以在多个租户上存储身份验证。在这个移动应用程序中，我们设置了<preference name="Hostname" value="domain.ltd" />.

如何处理 csrf 令牌？

后端向移动应用程序发送一个客户端无法访问的XSRF-TOKENcookie，.tenant[.env].domain.ltd因为域不匹配，因此客户端无法在请求的标头中设置给定的令牌。

我们应该为移动应用禁用 csrf 吗？这样做的最佳方法是什么？如果它是唯一的解决方案，我们应该过滤哪个值以禁用 csrf？

标签： ionic-frameworkspring-securityjhipstermulti-tenantcsrf-token

Answer 1

好的，我终于设法让它工作了。在 xsrf 令牌 cookie 生成时，我只是测试请求是否来自移动应用程序。如果是这样，我将 cookie 域设置为.domain.ltd. 我不确定的唯一一点是我应该确定它是移动请求的方式。我实际上使用Origin标题。