7. Spring Boot2.5 安全机制与 REST API 身份验证实战

Spring Boot2.5 安全机制与 RESTAPI 身份验证实战

内容简介：
一、Java Spring Boot 2.5 安全机制
二、Java Spring Boot 2.5 安全实战

一、Java Spring Boot 2.5 安全机制

本节课讲的是应用程序安全问题，在 Spring Boot 体系里，提供了一套安全机制，
可以对接各种不同的安全框架，包括自定义实现原始的身份验证机制。
模拟简单的 REST API 项目，启用身份验证，进行扩展对接 MySQL 数据库，甚至对
接 Release 缓存，实现整个用户的注册和身份验证过程。
但大型项目，比如淘宝、微信、新浪微博的账号验证基本上都在 Release 里面进行，
用户的规模比较大，而且整个的用户会话信息，要在分布式缓存里面进行保存。后面可
以扩展到 Release 身份验证机制，把身份验证与 Release 和 MySQL 结合起来，实现一个
完整的项目。

1. Java Spring Boot 2.0 安全机制

Spring Boot 提供的安全机制，可以用 Spring Security 开源框架，也可以用
Apache Shiro 开源框架，还可以用自定义实现安全验证。Web 框架开发底层本质上是
Web 请求进入 Web 框架，然后可以拦截，这里也叫 AOP 编程，用于做拦截，做身份验
证的工作。总结：
1）自定义实现安全验证；
2）Apache Shiro 开源框架；
3）Spring Security 开源框架；
4）大量使用 AOP；
5）依赖注入思想；
6）灵活扩展。
2. ### Java Spring Boot 2.5 安全机制

也可以进行授权，定了一些角色，设置对应的权限，这里支持的方式很多。Spring
Boot 作为快速开发框架，底层有 Web 开发的接口，可以做网站、 API 应用、定时任务
应用等等。

目前应用程序身份验证的类型非常多，不仅基于网页的 Form 表单验证、Basic、摘
要身份验证、令牌身份验证，令牌身份验证主要是用在 REST API，包括一些大型的微服
务架构程序中。当然还有企业级身份验证，比如基于企业局域网的客户身份验证，组织
内部使用的身份验证。还有跨第三方平台的开放式身份验证体系等。

3. 安全漏洞

后续基于 Spring Boot 进行开发，尽量升级到比较新的版本，最好是 Spring Boot
2.3 以上的版本，不要用太老的版本。Spring Boot 2020 年 9 月份又修复了一批安全漏
洞，涉及到远程代码过程执行的安全漏洞问题。

安全漏洞建议总结：

1）Spring Boot 2020 年 9 月份修复漏洞；
2）Spring Boot Actuator 未授权访问远程代码执行漏洞；
3）紧急修复 Spring Framework 版本包含一个安全漏洞（CVE-2020-5421）的修
复程序。此漏洞可以通过 sessionId 绕过 RFD （反射型文件下载）保护；
4）Spring Boot 2018 年修复了一些安全漏洞；
5）建议使用最新的 Spring 5.0+版本；
6）Spring 框架升级 5.0.0 - 5.0.2；
7）Spring 框架升级 4.3.0 - 4.3.13；
8）Spring Boot 1.5.10。

4. Java Spring Security

安全框架本身相对成熟，可以集成 Spring Security，也可以集成 Spring MVC，也
可以集成 Spring Boot，也可以集成 Spring cloud。
保护 Spring 应用系统的安全标准，可以实施各种产同的身份验证，可以做各种数据
源进行集成，定制开发工作，包括基于角色、基于令牌都可以