42、Spring Security：保障应用安全的利器

Spring Security：保障应用安全的利器

安全的重要性

安全对于任何应用程序来说都至关重要，尤其是对于暴露在互联网上的 Web 应用程序。外部威胁显而易见，应对这些威胁是开发安全解决方案的重要部分。然而，开发者面临的挑战不仅来自外部威胁。

由于安全功能本身并不直接增加应用的业务功能，因此常常被低估，有时甚至在时间和资源方面难以证明其合理性。在紧迫的截止日期和满足所有功能需求的压力下，安全功能往往被遗忘或实现得很差。但将安全视为“功能”是错误的，应该像看待编写测试或重构代码一样看待安全。测试虽然不会直接增加新功能，但能改进现有功能，使未来的功能添加或 bug 修复不会破坏项目的稳定性，重构也是如此。作为优秀的开发者，应每天进行代码重构，无论改动多么小，以提高应用程序的性能和稳定性。安全甚至应该被认为更重要，即使没有特别要求实现安全功能，也应该意识到应用程序面临的威胁，并确保交付的应用尽可能安全。

另一方面，整个“安全”过程并非完全由开发者掌控，安全跨越多个层面。即使在应用程序层面确保了安全，但如果基础设施团队在一个四年未打补丁的 Web 容器和类似的操作系统上运行应用程序，那么无论应用本身多么安全，可能都会有不速之客。组织理解安全的重要性以及影响安全的所有因素非常重要。从组织的角度来看，这不仅是一个技术问题，意识和认知也非常重要。即使是最微小的可被利用的异常，也可能使客户或其他用户认为应用程序不安全。根据应用程序的可见性，发现这种异常（无论多么微不足道）可能会引发抗议风暴，并给组织带来负面宣传，这甚至可能比攻击者的攻击本身造成的损害更严重。

应用安全概述

从高层次来看，应用安全主要是控制对应用程序功能的访问。以书店应用为例，每个