Spring Security登录成功后如何重置CSRF Token？

这个需求非常合理——登录成功后重置CSRF Token是预防会话固定攻击的重要安全实践，默认情况下Spring Security确实不会自动做这件事，下面给你几个可行的实现思路，适配你用XML配置且未自定义CSRF仓库的场景：

方法一：通过自定义AuthenticationSuccessHandler重置Token #

这是最直接的方案，利用Spring Security的登录成功回调处理器，手动触发CSRF Token的重置逻辑，步骤如下：

1. 自定义登录成功处理器 #

继承默认的SavedRequestAwareAuthenticationSuccessHandler（它会帮你处理登录前的跳转请求），重写onAuthenticationSuccess方法，在默认逻辑执行后重置CSRF Token：

import org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler;
import org.springframework.security.web.csrf.CsrfToken;
import org.springframework.security.web.csrf.CsrfTokenRepository;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class CsrfResetAuthenticationSuccessHandler extends SavedRequestAwareAuthenticationSuccessHandler {

    private final CsrfTokenRepository csrfTokenRepository;

    // 注入默认的CsrfTokenRepository
    public CsrfResetAuthenticationSuccessHandler(CsrfTokenRepository csrfTokenRepository) {
        this.csrfTokenRepository = csrfTokenRepository;
    }

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, 
                                        org.springframework.security.core.Authentication authentication) 
                                        throws ServletException, IOException {
        // 先执行默认登录成功逻辑（比如跳转到之前访问的页面）
        super.onAuthenticationSuccess(request, response, authentication);

        // 1. 清除旧的CSRF Token
        csrfTokenRepository.saveToken(null, request, response);
        // 2. 生成新的Token并保存到session（或Cookie，取决于你的仓库实现）
        CsrfToken newCsrfToken = csrfTokenRepository.generateToken(request);
        csrfTokenRepository.saveToken(newCsrfToken, request, response);

        // 3. 将新Token返回给前端（可选，根据你的前端获取方式调整）
        // 比如通过响应头传递，让前端后续请求使用新Token
        response.setHeader("X-CSRF-TOKEN", newCsrfToken.getToken());
    }
}

2. 在XML配置中注册并引用该处理器 #

先配置默认的CsrfTokenRepository，再将自定义处理器注入到Spring Security的表单登录配置中：

<!-- 配置默认的HttpSessionCsrfTokenRepository（如果用Cookie版本就换CookieCsrfTokenRepository） -->
<bean id="csrfTokenRepository" class="org.springframework.security.web.csrf.HttpSessionCsrfTokenRepository">
    <property name="headerName" value="X-CSRF-TOKEN"/> <!-- 前端请求时携带的头名称 -->
</bean>

<!-- 注册自定义登录成功处理器，注入csrfTokenRepository -->
<bean id="csrfResetSuccessHandler" class="com.yourproject.handler.CsrfResetAuthenticationSuccessHandler">
    <constructor-arg ref="csrfTokenRepository"/>
</bean>

<!-- Spring Security核心配置 -->
<security:http auto-config="true">
    <!-- 启用CSRF防护，关联我们的token仓库 -->
    <security:csrf token-repository-ref="csrfTokenRepository"/>
    
    <!-- 表单登录配置，指定自定义的成功处理器 -->
    <security:form-login 
        login-page="/login" 
        authentication-success-handler-ref="csrfResetSuccessHandler"/>
    
    <!-- 其他配置（权限、logout等） -->
    <security:intercept-url pattern="/admin/**" access="ROLE_ADMIN"/>
    <!-- ... -->
</security:http>

关键注意事项 #

• 如果你的CSRF Token是通过Cookie传递的（使用CookieCsrfTokenRepository），saveToken方法会自动更新Cookie中的Token值，不需要额外处理；如果是存在Session中，需要确保前端能从响应头或新页面的meta标签中获取到新的Token。
• 前端必须在登录成功后重新获取新的CSRF Token，否则后续请求会使用旧Token导致403错误。比如可以在登录成功的回调中读取响应头的X-CSRF-TOKEN并更新本地存储的Token。

备选思路：自定义Filter拦截登录成功请求 #

如果不想修改登录成功处理器，也可以自定义一个Filter，在登录成功后的请求中触发Token重置。不过这种方式需要判断请求是否是登录成功后的跳转，不如SuccessHandler的方式精准。

内容的提问来源于stack exchange，提问作者jpganz18