Spring授权服务器默认忽略OIDC端点CSRF的原因及安全性疑问

一、为什么默认忽略OAuth2端点的CSRF防护 #

Spring Security OAuth2授权服务器将oauth2/authorize、oauth/token、oauth/introspect等端点排除在CSRF防护外，核心原因是这些端点的设计机制天然不满足CSRF攻击的前提条件，强制添加CSRF防护反而会增加客户端集成的复杂度：

• CSRF攻击的核心是利用用户已登录的会话（通过浏览器自动携带的Cookie凭证），在用户不知情的情况下发起恶意请求；而OAuth2的核心端点要么不依赖用户会话Cookie，要么有额外的验证机制阻断CSRF的利用路径。
• OAuth2客户端多为服务端应用、原生应用等，这类客户端不需要处理浏览器环境下的CSRF令牌逻辑，忽略CSRF防护能简化客户端的集成流程。

二、这些端点如何抵御CSRF攻击 #

每个OAuth2端点都有自身的安全机制，足以抵御CSRF攻击：

1. oauth2/authorize 端点 #

• 授权码流程中，该端点的GET请求仅用于跳转，最终的授权决策需要用户主动确认（如点击授权按钮），攻击者无法伪造用户的交互操作；
• 即使是POST请求，该端点要求携带client_id、redirect_uri等预注册参数，且授权码会返回给预先审核通过的redirect_uri，攻击者无法拦截或伪造这些参数来获取有效授权码；
• 依赖用户登录会话的场景下，用户的主动授权操作是CSRF攻击无法绕过的屏障。

2. oauth/token 端点 #

• 该端点要求客户端进行身份验证（如HTTP Basic认证、客户端凭证），攻击者无法通过CSRF请求注入客户端的身份凭证（凭证由客户端安全存储，不会通过浏览器自动携带）；
• 请求中需要携带的核心参数（如授权码code、刷新令牌refresh_token）仅能由合法客户端从预注册的redirect_uri获取，攻击者无法通过CSRF拿到这些敏感参数。

3. oauth/introspect 端点 #

• 该端点用于验证令牌有效性，请求需要客户端身份验证，且必须携带待验证的令牌；
• 令牌本身是随机的高熵字符串，攻击者无法通过CSRF请求伪造有效令牌，也无法获取合法用户的令牌。

内容的提问来源于stack exchange，提问作者Sandra7654