CSRF 토큰과 발급 과정에 대해서 궁금합니다!

Question

혼자 개인 공부하는 김에 Spring Security의 CSRF 옵션을 끄지 않고 포스트맨을 이용해 헤더에 CSRF 토큰 값을 넣어서 요청을 보내보았는데요.인터넷에 예제를 보면 쿠키에 저장된 XSRF-TOKEN 값을 복사해서 X-XSRF-TOKEN 값으로 넣어서 요청을 넣으면 정상적으로 실행이 되는데 저 같은 경우는 안되더라구요. 그래서 뭐가 문제일까 하고 직접 브라우저에서 요청을 보냈을 때는 잘 동작이 됐으니 브라우저에서 실행한 후 요청 헤더를 확인해봤는데이런 식으로 XSRF-TOKEN 과 X-XSRF-TOKEN 의 값이 완전 다른 값을 보이고 있었는데 왜 이렇게 되는 건지 설명해주실 수 있을까요?추가로 meta 태그 내에서도 저렇게 값이 저장되어 있었습니다.따로 CSRF 토큰을 서버 단에서 암호화해서 전송하는 로직은 작성하지 않았고 포스트맨에서도 저 암호화된 것 같은 값을 넣게 되면 잘 동작을 했습니다. 우선 제가 CSRF 토큰의 인증 과정을 이해한 바로는클라이언트가 서버에 접근을 할 때 CSRF 토큰을 발급하여 쿠키나 혹은 HTML 내에 meta 태그나 변수에 저장이 되어 있다. (XSRF-TOKEN)이 후 클라이언트에서 POST 요청을 보낼 때 서버에서 발급 받은 XSRF-TOKEN을 헤더에 X-XSRF-TOKEN 이름으로 값을 보낸다.서버는 클라이언트에서 보낸 헤더 값 중 X-XSRF-TOKEN 값을 읽어 세션 또는 쿠키에 저장된 토큰을 비교한다.같다면 정상 요청 완료, 다르다면 403 에러 발생그치만 저 같은 경우 어떤 이유 때문인지 저렇게 암호화가 되어 있는 것 같습니다.

오후 · Answer

https://docs.spring.io/spring-security/reference/servlet/exploits/csrf.html

전뚱이인데요 · Answer

잘 모르겠지만 세션에서 관리하는 값을 서버에서 클라이언트로 내려주는데 쿠키를 통해 값을 클라이언트에 전달하는거 같습니다 그런경우 보통 해당 값을 노출시키지 않기 위해 key, value 형태로 클라이언트에 노출되는건 id 값이고실제 값은 클라이언트가 가지고 있는 id 값으로 서버에 가져가면 값을 가져오는 형태일거 같습니다보통 JSESSIONID 로 시작되며 JSESSIONID=<id> 입니다.

anyounghaseyo · Answer

제가 알고 있는 플로우는 클라이언트가 처음 서버에 요청했을 경우 spring security가 csrf 토큰을 생성하는데tokenRepository 전략에 따라 세션에 저장할 건지 쿠키에 저장할 건지 나뉘어집니다.만약 클라이언트가 post 요청할 때 헤더에 토큰을 담아서 보내면 서버는 csrfFilter에서 토큰을 검증을 하게 되는거죠. 그리고 XSRF-TOKEN 과 X-XSRF-TOKEN의 차이는 찾아보니 사용하는 클라이언트의 js 프레임워크에 따라 나뉘는 거 같습니다. X-CSRF-TOKEN가 일반적이고 spring security가 기본적으로 지원하는 헤더 같네요..

CSRF 토큰과 발급 과정에 대해서 궁금합니다!

3개의 답변

#csrf 목록