web网站的安全控制

web应用必须有的安全控制

加密机制：加密是保护数据在传输和存储过程中安全性的核心技术。通过对数据进行加密，可以确保只有拥有解密密钥的授权用户可以访问和读取数据。常见的加密算法包括对称加密（如AES）和非对称加密（如RSA）。

数字签名机制：数字签名用于验证数据的完整性和来源。通过使用私钥对数据进行签名，接收方可以使用公钥验证签名的有效性，从而确保数据在传输过程中没有被篡改，并且确实来自声称的发送方。

身份认证机制：身份认证是确认用户或实体身份的过程。常见的身份认证方法包括用户名和密码、多因素认证（如指纹识别、动态令牌等）、生物识别等。身份认证机制可以确保只有合法用户能够访问系统资源。

数据完整性机制：数据完整性机制用于确保数据的准确性和一致性。通过使用校验和、哈希函数等技术，可以检测数据在传输或存储过程中是否被篡改或损坏。

防火墙和入侵检测/预防系统（IDS/IPS）：防火墙用于监控和控制进出网络的流量，阻止未经授权的访问。IDS/IPS则用于检测和预防网络攻击，包括恶意软件、入侵行为等。

安全审计和日志记录：安全审计和日志记录机制可以记录和分析系统活动，帮助发现潜在的安全威胁和违规行为。通过对日志数据的分析，可以发现异常行为、系统漏洞和潜在的攻击者。

安全漏洞管理：安全漏洞管理涉及对系统漏洞的识别、评估、修复和报告。通过定期漏洞扫描、安全评估和及时更新补丁，可以降低系统被攻击的风险。

两大框架spring security和Apache shiro

• Spring Security框架
  • Spring Security是一个功能强大的Java安全框架，用于保护Java应用程序
  • Spring Security提供了认证、授权、保护等安全功能
  • Spring Security易于集成，可以与Spring生态系统中的其他框架无缝集成
• Apache Shiro框架
  • Apache Shiro是一个Java安全框架，用于保护Java应用程序
  • Apache Shiro提供了认证、授权、保护等安全功能
  • Apache Shiro易于集成，可以与其他Java框架无缝集成
• Spring Security和Apache Shiro的对比
  • Spring Security和Apache Shiro都是Java安全框架，但Spring Security提供了更丰富的功能
  • Spring Security提供了更多的认证方式，如OAuth2、OpenID Connect等
  • Apache Shiro提供了更简单的API，更容易上手
• Spring Security和Apache Shiro的选型
  • 在选择Spring Security和Apache Shiro时，应根据实际需求和团队技术栈进行选择
  • 如果团队已经使用了Spring生态系统，那么Spring Security可能是更好的选择
  • 如果团队需要一个简单的安全框架，那么Apache Shiro可能是更好的选择
• 后面我们主要讲解 spring security是如何实现的认证、授权以及和Oauth2.0集成的

认证和鉴权

• 认证是验证用户身份的过程，鉴权是确定用户访问权限的过程
• 认证和鉴权是信息安全领域的重要组成部分，用于保护系统的安全性和完整性
• 认证和鉴权通常包括用户名、密码、生物识别等多种方式

过滤器链

对于servlet web应用来说，想要通用的安全控制最好莫过于使用Servlet Filter 。 过滤器责任链来组成一系列的过滤策略，不同的条件的请求进入不同的过滤器进行各自的处理逻辑。我们可以对这些Filter 进行排列组合以满足我们的实际业务需要。

RBAC模型

RBAC 是基于角色的访问控制（Role-Based Access Control ）的简称。在 RBAC  中，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。这就极大地简化了权限的管理。这样管理都是层级相互依赖的，权限赋予给角色，而把角色又赋予用户，这样的权限设计很清楚，管理起来很方便。