Spring Boot中@RequestBody触发Snyk CSRF告警的解决办法咨询

问题背景 #

我用Spring Boot开发API时，所有带@RequestBody注解自定义对象的POST请求，都会在Snyk安全流水线里触发CSRF低危告警。

示例控制器代码：

public ResponseEntity<CustomObject> getCustomObject(@RequestBody CustomRequest customRequest) {
  // 业务逻辑代码
}

Snyk给出的安全告警内容：

✗ [Low] Spring Cross-Site Request Forgery (CSRF)

Controller: Line 10

Info: The request parameter is vulnerable to Cross Site Request Forgery (CSRF) attacks due to not using Spring Security. This could allow an attacker to execute requests on a user's behalf. Consider including Spring Security's CSRF protection within your application.

移除@RequestBody注解后告警就消失了，但我试过添加@Valid、@Validated以及字段级校验注解，都没法消除告警。现在想找两个方向的解决办法：要么不用自定义反序列化器替代@RequestBody，要么直接标记这个告警为误报。

可行解决办法 #

1. 直接标记Snyk误报 #

• 在Snyk控制台找到对应的告警，选择「Mark as False Positive」，备注清楚原因：比如使用@RequestBody接收JSON格式请求，浏览器无法自动构造跨域的JSON请求，天然不存在CSRF风险。
• 如果用Snyk CLI集成流水线，可以在项目根目录创建.snyk配置文件，添加忽略规则（替换成实际的漏洞ID）：

ignore:
  "SNYK-JAVA-ORGSPRINGFRAMEWORKSECURITY-XXXXXXX":
    - reason: "JSON请求通过@RequestBody接收，无CSRF攻击风险"
      expires: "2025-12-31" # 可选，设置忽略过期时间，到期后会重新检测

2. 启用Spring Security并配置CSRF策略（推荐） #

虽然JSON请求本身CSRF风险极低，但启用Spring Security既能彻底消除告警，也能提升整体应用安全性：

• 先添加Spring Security依赖：

<!-- Maven 依赖 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

• 配置SecurityFilterChain，根据API场景调整CSRF规则：

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            // 忽略API路径的CSRF检查，根据实际接口路径修改
            .csrf(csrf -> csrf.ignoringRequestMatchers("/api/**"))
            // 根据实际需求配置接口权限，这里示例为允许所有请求
            .authorizeHttpRequests(auth -> auth.anyRequest().permitAll());
        return http.build();
    }
}

这样配置后，Snyk会检测到Spring Security的存在，自动消除CSRF告警。

3. 团队级调整Snyk检测规则 #

如果整个团队都频繁遇到这类误报，可以联系Snyk组织管理员，在组织级别修改「Spring Cross-Site Request Forgery (CSRF)」规则，排除对带有@RequestBody注解的POST请求的检测逻辑。

内容的提问来源于stack exchange，提问作者Ddeokbokki