¿Cómo compartir el token CSRF a la aplicación cliente?

Simplemente implemente un punto final /token que proporcione un token CSRF dada una cookie de sesión. Recuerde, mientras JS del lado del cliente en un dominio diferente no pueda recuperar y use esto para construir solicitudes (lo que más puede hacer JS del lado del cliente es enviarlo en un iframe aislado), CSRF no es posible. Permitir que la aplicación cliente obtenga el token a través de CORS si los dominios son diferentes.

Hace poco tuve que hacer esto y terminé poniendo el token CSRF en una variable javascript global. Luego, cuando hiciera mis llamadas, incluiría este token como parámetro. Dado que un atacante no podría leer ningún estado desde su navegador, debería estar seguro allí.

Ejemplo:

$.ajax({
  type: "POST",
  url: "some.php",
  data: { name: "John", location: "Boston", _csrf: _GLOBALS._csrf }
});

He enfrentado el mismo problema y he decidido usar "solicitudes de token únicas". Algo como esto:

1. Introduzca la contraseña de inicio de sesión, autentíquese, autorice, cargue la página principal del proyecto
2. Llame al método /csrf-token antes de cualquier otra solicitud, por ejemplo, durante la etapa inicial de arranque
   • El servidor genera el token y luego en algún lugar de los datos de la sesión del servidor se toma nota de que el token csrf ya se ha solicitado, por lo que todas las llamadas futuras de /csrf-token fallarán.
3. El cliente recuerda ese token y lo usa para todas las solicitudes futuras; podría recordarse en algún espacio de nombres de javascript, por ejemplo, por lo que solo será accesible desde esa página / pestaña.

Gran inconveniente de este método: debe firmar si vuelve a cargar la página, por ejemplo.

Agregar el token CSRF en el cliente

pom.xml:

<dependency>
    <groupId>org.webjars</groupId>
    <artifactId>js-cookie</artifactId>
    <version>2.1.0</version>
</dependency>

Importarlo en HTML:

<script type="text/javascript" src="/webjars/js-cookie/js.cookie.js"></script>

entonces podemos usar los métodos de conveniencia de Cookies en xhr:

$.ajaxSetup({
beforeSend : function(xhr, settings) {    
      xhr.setRequestHeader("X-XSRF-TOKEN",
          Cookies.get('XSRF-TOKEN'));
    }
  }
}
});

fuente: enlace