我正在试验通过SpringCloudGateway提供Angular应用程序的可能性。
对于GET请求，一切都很正常，但是当我试图通过网关向资源服务发送POST请求时，请求由于“无效的CSRF令牌”而失败。
这可能是因为一些错误的配置，但我不能找到它。而且，在线文档的Spring Web关和Angular 是不是很有用的这个特定的场景。
如果您想复制此行为，下面是具有当前配置的存储库：github repo .

当前行为：来自Angular的POST请求因“无效CSRF令牌”而失败：

error: "Invalid CSRF Token"
message: "Http failure response for http://gateway:8000/api/post: 403 Forbidden"
name: "HttpErrorResponse"
​ok: false
​status: 403
​statusText: "Forbidden"
​url: "http://gateway:8000/api/post"

预期行为：POST请求成功执行，未禁用spring security中的csrf。

这是我对网关的Spring Security配置：

@Configuration
@EnableWebFluxSecurity
public class SecurityConfig {

    @Bean
    SecurityWebFilterChain securityFilterChain(ServerHttpSecurity http) throws Exception {

        return http
                .authorizeExchange(exchange -> exchange
                        .pathMatchers("/**").permitAll()
                        .anyExchange().authenticated())
                .csrf(csrf -> csrf.csrfTokenRepository(CookieServerCsrfTokenRepository.withHttpOnlyFalse()))
                .build();
    }
}

网关还包含以下WebFilter：

@Component
@Configuration
public class CsrfCookieWebFilter implements WebFilter {

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
        String key = CsrfToken.class.getName();
        Mono<CsrfToken> csrfToken = null != exchange.getAttribute(key) ? exchange.getAttribute(key) : Mono.empty();
        return csrfToken.doOnSuccess(token -> {
            ResponseCookie cookie = ResponseCookie.from("XSRF-TOKEN", token.getToken())
                    .maxAge(Duration.ofHours(1))
                    .httpOnly(false)
                    .path("/")
                    .sameSite(Cookie.SameSite.LAX.attributeValue())
                    .build();
            exchange.getResponse().getCookies().add("XSRF-TOKEN", cookie);
        }).then(chain.filter(exchange));
    }
}

Angular 应用程序AppModule包含HttpClientXsrfModule的导入。