C'è un taglib di Spring Security 4.x per Facelets

Question

Sono coinvolto in un progetto utilizzando Spring Security 4.xe JSF 2.2 con Facelets. Ho appena notato che la sicurezza di primavera in questa versione ha abilitato di default la protezione contro la falsificazione di richieste cross-site usando i token di richiesta, il caso è che devi mettere il tag <sec:csrfMetaTags> in molte pagine (se no, molla negare la richiesta), la lib spring-faces è in 2.4.1 che non ha questi tag per Facelets (XHTML).

Ho cercato di trovare un'implementazione per poter lavorare con il mio progetto usando questi framework ma non sono riuscito a trovarne nessuno, conosci qualche adattamento?

Nel mio caso, ho adattato solo la parte di cui avevo bisogno (a questo punto), se non ci sono adattamenti pubblici, sarei lieto di inserirlo in un progetto open source e provare ad adattare tutta la libreria.

Grazie.

UPDATE

ho creato un post sul blog che spiega la mia soluzione: http://halexv.blogspot.mx/2015/07/spring-security-4x-csrf-protection-for.html

Answer 1

Hai la taglib molla per il JSF cui è possibile accedere da questo link.

http://docs.spring.io/spring-webflow/docs/current/reference/html/spring-faces.html#spring-faces-security-taglib

Credo che si conosce già questo. Ma la tua domanda effettiva è relativa allo CRSF che devi aggiungere a tutte le tue pagine. Questo in particolare può essere raggiunto con l'aggiunta del token automaticamente i moduli, come di seguito

Creare una classe util e aggiungere un generatore di token

static String getTokenForSession (HttpSession session) { 
String token = null; 
    synchronized (session) { 
    token = (String) session.getAttribute(CSRF_TOKEN_FOR_SESSION_ATTR_NAME); 
    if (null==token) { 
     token=UUID.randomUUID().toString(); 
     session.setAttribute(CSRF_TOKEN_FOR_SESSION_ATTR_NAME, token); 
    } 
} 
return token; 
} 

implementare RequestDataValueProcessor

public class CSRFRequestDataValueProcessor implements RequestDataValueProcessor { 
... 
@Override 
public Map<String,String> getExtraHiddenFields(HttpServletRequest request) { 
    Map<String,String> hiddenFields = new HashMap<String,String>(); 
    hiddenFields.put(CSRFTokenManager.CSRF_PARAM_NAME, CSRFTokenManager.getTokenForSession(request.getSession())); 
    return hiddenFields; 
    } 
} 

Quindi definire il fagiolo

<bean name="requestDataValueProcessor" class="com...CSRFRequestDataValueProcessor"/> 

Creadit Riferimento - http://blog.eyallupu.com/2012/04/csrf-defense-in-spring-mvc-31.html