使用 Spring Security 保护应用程序

在当今日益数字化的世界中，保护应用程序已成为至关重要。作为开发人员，我们必须确保我们的应用程序受到保护，免受未经授权的访问和恶意攻击。保护 Java 应用程序的一种流行解决方案是 Spring Security，这是一个全面且可定制的框架，可提供身份验证、授权和针对各种安全威胁的保护。

在本文中，我们将探讨 Spring Security 的基础知识，并通过一个真实示例来演示如何在您的应用程序中实现它。在本文结束时，您应该更好地了解使用 Spring Security 的好处以及如何有效地利用其功能。

Spring Security 概述
Spring Security 是一个强大而灵活的框架，旨在保护 Java 应用程序。它与 Spring 生态系统无缝集成，提供广泛的功能，包括：

认证： 验证尝试访问应用程序的用户的身份。
授权： 确保经过身份验证的用户具有访问特定资源或执行特定操作所需的权限。
CSRF保护：保护您的应用程序免受跨站点请求伪造 （CSRF） 攻击。
会话管理： 控制用户会话，包括会话超时和并发会话限制。
真实示例：安全的网上银行应用程序
为了说明Spring Security的使用，让我们考虑一个简单的网上银行应用程序。此应用程序允许用户查看他们的账户余额、在账户之间转账以及管理他们的个人信息。

步骤 1：设置 Spring 安全依赖项
首先，我们需要在项目的构建文件中包含必要的依赖项。对于 Maven 项目，请将以下内容添加到您的pom.xml中：

dependencies {
    implementation 'org.springframework.boot:spring-boot-starter-security'
}

步骤 2：配置 Spring 安全性
接下来，我们需要创建一个扩展 的配置类。此类将定义应用程序的安全规则。WebSecurityConfigurerAdapter

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/login", "/register").permitAll()
                .antMatchers("/account/**").hasRole("USER")
                .antMatchers("/transfer/**").hasRole("USER")
                .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login")
                .defaultSuccessURL("/dashboard")
            .and()
            .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/login");
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }
}

在此配置中，我们定义了以下规则：

所有用户都可以访问登录和注册页面。
只有具有“USER”角色的经过身份验证的用户才能访问该帐户和转账相关页面。
所有其他请求都需要身份验证。
指定了自定义登录和注销 URL。
密码编码器配置为使用 BCrypt 对用户密码进行哈希处理。
步骤 3：实现 UserDetailsService
现在，我们需要创建一个自定义实现，用于从我们的数据源（例如，数据库）中检索用户详细信息。UserDetailsService

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Autowired
    private UserRepository userRepository;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userRepository.findByUsername(username);
        if (user == null) {
            throw new UsernameNotFoundException("User not found");
        }
        return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(), getAuthorities(user));
    }

    private Collection<? extends GrantedAuthority> getAuthorities(User user) {
        return user.getRoles().stream()
            .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
            .collect(Collectors.toList());
    }
}

此实现查询 以通过用户名查找 User 实体。如果找到用户，它将返回一个 Spring Security 对象，其中包含用户的详细信息和权限（角色）。UserRepositoryUserDetails

结论
在本文中，我们介绍了 Spring Security，并演示了其在一个简单的网上银行应用程序中的使用。通过利用 Spring Security 提供的功能，开发人员可以有效地保护他们的应用程序免受未经授权的访问和常见的安全威胁。

虽然这个例子只是触及了 Spring Security 必须提供的功能的表面，但它可以作为进一步探索的起点。随着您继续使用 Spring Security，您将发现更高级的功能和自定义选项，这些功能和自定义选项可以帮助您根据特定需求定制框架。