CSRF / XSRF защита для Spring Security и AngularJS

Большое спасибо за ответы, они действительно помогли мне найти решение. И я хочу поделиться своим решением, если в будущем кто-то столкнется с той же проблемой.

Как отмечалось в ответах, я использовал SessionCreationPolicy.STATELESS и не имел сессий, поэтому вместо HttpSessionCsrfTokenRepository мне пришлось использовать CookieCsrfTokenRepository с withHttpOnlyFalse(), чтобы AngularJS мог читать куки.

В результате у меня есть такая конфигурация:

@Override
public void configure(HttpSecurity http) throws Exception {
    http
            ...
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .addFilterBefore(new StatelessAuthenticationFilter(tokenAuthenticationService()), UsernamePasswordAuthenticationFilter.class)
            .addFilterAfter(new CsrfHeaderFilter(), CsrfFilter.class)
            .csrf().csrfTokenRepository(csrfTokenRepository());
}

Если кого-то интересует, как выглядит CsrfHeaderFilter:

public class CsrfHeaderFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
            throws ServletException, IOException {
        CsrfToken csrf = (CsrfToken) request.getAttribute(CsrfToken.class.getName());
        if (csrf != null) {
            Cookie cookie = WebUtils.getCookie(request, "XSRF-TOKEN");
            String token = csrf.getToken();
            if (cookie==null || token!=null && !token.equals(cookie.getValue())) {
                cookie = new Cookie("XSRF-TOKEN", token);
                cookie.setPath("/");
                response.addCookie(cookie);
            }
        }
        filterChain.doFilter(request, response);
    }
}

Моя вторая проблема была CORS. Документация AngularJS гласит:

«Заголовок не будет установлен для междоменных запросов».

Чтобы решить эту проблему, мне пришлось использовать HTTP-перехватчик:

.factory('XsrfInterceptor', function ($cookies) {
  return {
    request: function (config) {
      var headerName = 'X-XSRF-TOKEN';
      var cookieName = 'XSRF-TOKEN';
      config.headers[headerName] = $cookies.get(cookieName);
      return config;
    }
  };
});

.config(['$httpProvider', function($httpProvider) {  
    $httpProvider.interceptors.push('XsrfInterceptor');
}]);

Я надеюсь, что мой ответ будет полезен.