Tomcat RestCsrfPreventionFilter问题：无法获取CSRF随机数（nonce）

我之前也帮不少开发者处理过Tomcat里RestCsrfPreventionFilter的相关问题，你遇到的拿不到CSRF nonce的情况其实挺常见，咱们一步步排查解决：

1. 先搞懂过滤器的核心逻辑 #

首先得明确：RestCsrfPreventionFilter只会对**安全HTTP方法（GET、HEAD、OPTIONS、TRACE）**的请求返回CSRF nonce，而且默认是通过名为org.apache.catalina.filters.REST_CSRF_NONCE的Cookie传递给客户端的。如果用POST/PUT这类修改状态的方法去请求，过滤器根本不会生成nonce，这是关键！

2. 检查请求是否符合要求 #

• 必须用GET/HEAD/OPTIONS这类安全方法发起请求，而且请求的路径要匹配你在配置里给过滤器设置的url-pattern。比如如果过滤器映射的是/api/*，那你得请求/api/某个安全端点，而不是根路径或者不在映射范围内的地址。
• 举个例子：你可以直接用浏览器访问http://你的服务器地址/api/health（假设这是个GET接口），然后去开发者工具的响应头里找Set-Cookie字段，看看有没有对应的nonce Cookie。

3. 调整过滤器的配置参数 #

默认配置可能有些参数不符合你的场景，你可以在web.xml（或者Tomcat的全局配置文件）里调整这些参数，让nonce更容易获取：

<filter>
    <filter-name>RestCsrfPreventionFilter</filter-name>
    <filter-class>org.apache.catalina.filters.RestCsrfPreventionFilter</filter-class>
    <!-- 可选：指定允许返回nonce的安全方法，默认就是GET,HEAD,OPTIONS,TRACE -->
    <init-param>
        <param-name>safeMethods</param-name>
        <param-value>GET,HEAD,OPTIONS</param-value>
    </init-param>
    <!-- 可选：自定义nonce的Cookie名称，方便识别 -->
    <init-param>
        <param-name>nonceCookieName</param-name>
        <param-value>CSRF_NONCE</param-value>
    </init-param>
    <!-- 关键：如果前端需要用JS读取Cookie，把这个设为false（注意XSS风险） -->
    <init-param>
        <param-name>nonceCookieHttpOnly</param-name>
        <param-value>false</param-value>
    </init-param>
    <!-- 根据你的环境设置：如果是HTTPS环境，设为true；HTTP环境设为false -->
    <init-param>
        <param-name>nonceCookieSecure</param-name>
        <param-value>true</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>RestCsrfPreventionFilter</filter-name>
    <url-pattern>/api/*</url-pattern>
</filter-mapping>

这里要重点说下nonceCookieHttpOnly：默认是true，这时候前端JavaScript没法读取这个Cookie，只能由浏览器自动在后续请求里携带。如果你的前端需要手动获取nonce值（比如要放在请求头里），就得把这个参数改成false，但要注意这会增加XSS攻击的风险，记得做好前端的XSS防护。

4. 排查过滤器执行顺序 #

如果你的项目里还有其他过滤器（比如权限验证、日志过滤器），要确保RestCsrfPreventionFilter在这些过滤器之前执行。因为如果其他过滤器先拦截了安全请求，直接返回了响应，RestCsrfPreventionFilter就没机会生成并返回nonce了。

5. 自定义端点手动生成nonce #

如果你的场景里没有合适的安全方法接口来触发nonce生成，那可以自己写一个简单的GET端点，手动调用过滤器的nonce生成逻辑：

import org.apache.catalina.filters.RestCsrfPreventionFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.ws.rs.GET;
import javax.ws.rs.Path;
import javax.ws.rs.core.Context;

@Path("/csrf-token")
public class CsrfTokenResource {
    @GET
    public void getCsrfToken(@Context HttpServletRequest request, @Context HttpServletResponse response) {
        // 手动调用过滤器的方法生成并设置nonce Cookie
        RestCsrfPreventionFilter.generateNonce(request, response);
    }
}

之后你只要GET请求/csrf-token，就能拿到nonce Cookie了。

最后再提一句：拿到nonce后，后续的POST/PUT等修改请求，你可以把nonce放在X-CSRF-Token请求头里，或者让浏览器自动携带Cookie，过滤器会自动检查这两个位置的nonce是否有效。

内容的提问来源于stack exchange，提问作者craigmiller160