diff --git a/yudao-framework/yudao-spring-boot-starter-security/src/main/java/cn/iocoder/yudao/framework/security/config/YudaoWebSecurityConfigurerAdapter.java b/yudao-framework/yudao-spring-boot-starter-security/src/main/java/cn/iocoder/yudao/framework/security/config/YudaoWebSecurityConfigurerAdapter.java index bcf78f163b91880d09dedf13dfd548327af03025..d03ba88cea142a128902c18b797a9ad06bb5f527 100644 --- a/yudao-framework/yudao-spring-boot-starter-security/src/main/java/cn/iocoder/yudao/framework/security/config/YudaoWebSecurityConfigurerAdapter.java +++ b/yudao-framework/yudao-spring-boot-starter-security/src/main/java/cn/iocoder/yudao/framework/security/config/YudaoWebSecurityConfigurerAdapter.java @@ -110,19 +110,22 @@ public class YudaoWebSecurityConfigurerAdapter { protected SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception { // 登出 httpSecurity - // 开启跨域 + // 开启跨域 意思是:允许前端网页(比如 http://localhost:3000)访问这个后端(http://localhost:8080) .cors(Customizer.withDefaults()) - // CSRF 禁用,因为不使用 Session + // CSRF 禁用,因为不使用 Session CSRF 是一种老式攻击方式,主要针对“用浏览器登录、靠 Cookie 维持登录状态”的系统。但我们用的是 token(比如 JWT),不是 Session + Cookie,所以可以安全地关掉它。 .csrf(AbstractHttpConfigurer::disable) - // 基于 token 机制,所以不需要 Session + // 基于 token 机制,所以不需要 Session 普通网站登录后,服务器会创建一个“会话”(Session)来记住你。但我们不用这种方式,我们靠 token 来识别用户,所以设置为 STATELESS(无状态),表示“我不记录你是谁,你每次来都要带 token”。 .sessionManagement(c -> c.sessionCreationPolicy(SessionCreationPolicy.STATELESS)) + //有些页面需要被其他系统用