springboot 跨域以及jasypt加密使用(第六章)

于 2024-10-10 12:10:40 发布
阅读量831 收藏 12
点赞数 20
分类专栏： springboot 文章标签： spring boot 后端 spring
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36260963/article/details/142818191
版权

一、CORS 跨域

1、cors

  • CORS是一个W3C标准，全称是"跨域资源共享"（Cross-origin resource sharing）。
  • 它允许浏览器向跨源服务器，发出XMLHttpRequest(ajax)请求，从而克服了AJAX只能同源使用的限制。

2、同源策略

  • 同源策略[same origin policy]是浏览器的一个安全功能，不同源的客户端脚本在没有明确授权的情况下，不能读写对方资源。 同源策略是浏览器安全的基石。

3、源

  • 源[origin]就是协议、域名和端口号。例如：http://www.baidu.com:80这个URL。

4、同源

  • 若地址里面的协议、域名和端口号均相同则属于同源。（协议 http/https） 域名 www.com/aaa.com 端口号： 80/ 8081 只要这三个是相同的那么就是同源；列如：http://127.0.0.1:8080 和 http://localhost:8080 就是非同源
# 同源举例
- 例如判断下面的URL是否与 http://www.a.com/test/index.html 同源
	http://www.a.com/dir/page.html --------->同源
	http://www.child.a.com/test/index.html ->不同源，域名不相同
	https://www.a.com/test/index.html ------>不同源，协议不相同
	http://www.a.com:8080/test/index.html -->不同源，端口号不相同

5、哪些操作不受同源限制

  • 页面中的链接，重定向以及表单提交是不会受到同源策略限制的；

  • 跨域资源的引入是可以的。如嵌入到页面中的<script src="..."></script>，<img>，<link>，<iframe>等。

6、哪些操作受同源限制

  • 在浏览器中发起一个AJAX请求,会受到同源策略限制。
  • 出现错误:Access-Control-Allow-Origin

7、同源限制案例演示

利用springboot 后台启动一个程序，端口为9008，我们访问的时候 通过 http://127.0.0.1:9008/demo 跳转到 demo.html页面，在html的页面我们放一个发送ajax 的按钮，地址为 http://localhost:9008/demo/hello 两个域名不同，这个时候就会出现跨域错误了

1、controller 代码

@Controller
@RequestMapping("/demo")
public class DemoController {

    private final Logger logger = LoggerFactory.getLogger(this.getClass());



    @RequestMapping()
    public String index(Model model) {
        model.addAttribute("msg", "hello springboot cors ");
        return "demo";
    }



    @GetMapping("/hello")
    public ResponseEntity<String> hello(Model model) {
        return new ResponseEntity<>("hello springboot cors ajax ", HttpStatus.OK);
    }

}

2、html 代码演示

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>Title</title>
    </head>
    <body>
        <!--th:text 为 Thymeleaf 属性，用于在展示文本-->
        <h1 th:text="迎您来到Thymeleaf">测试跨域静态页面</h1>
        <h2><span th:text="${msg }"/> </h2>
        <button type="button" value="点我发送ajax请求" onclick="testAjax()">点我发送ajax请求</button>
        <h4 id="msgId"></h4>
    </body>


<script>
  function testAjax() {
      // 创建对象
      var xhr = new XMLHttpRequest();

      // 处理请求
      xhr.onreadystatechange = function (ev) {
          if (xhr.status == 200 && xhr.readyState == 4) {
              console.log(xhr.responseText);
              document.getElementById("msgId").innerText = "ajax返回结果："+xhr.responseText
          }
      }

      // 发送请求
      xhr.open("get","http://localhost:9008/demo/hello");
      xhr.send();
  }
</script>
</html>

3、效果演示

在这里插入图片描述

8、如何解决

  • 在对应的controller 上面加上注解 @CrossOrigin，需要每一个controller 都设置
  • 在配置类中使用全局的bean，只需要设置一次

1、 @CrossOrigin

@Controller
@RequestMapping("/demo")
@CrossOrigin
public class DemoController

在这里插入图片描述

2、全局配置一个跨域的过滤器

@Configuration
public class MvcConfig implements WebMvcConfigurer {


    /**
     *  配置 springmvc 跨域请求全局过滤器方案
     * @return
     */
    @Bean
    public CorsFilter corsFilter() {
        UrlBasedCorsConfigurationSource urlSourceConfig = new UrlBasedCorsConfigurationSource();

        CorsConfiguration corsConfiguration = new CorsConfiguration();
        corsConfiguration.addAllowedOrigin("*"); // 1允许任何域名使用
        corsConfiguration.addAllowedHeader("*"); // 2允许任何头
        corsConfiguration.addAllowedMethod("*"); // 3允许任何方法（post、get等）
        urlSourceConfig.registerCorsConfiguration("/**", corsConfiguration);//4处理所有请求的跨域配置

        return new CorsFilter(urlSourceConfig);
    }



    @Override
    public void addViewControllers(ViewControllerRegistry registry) {

    }
}

二、Jasypt 加密

Jasypt 也即Java Simplified Encryption是Sourceforge.net上的一个开源项目。在当地时间11月23号的通告中，Jasypt 1.4的新特征包括：加密属性文件（encryptable properties files）、Spring Framework集成、加密Hibernate数据源配置、新的命令行工具、URL加密的Apache wicket集成以及升级文档。

Jasypt的设计理念是简化加密操作，使其对开发者更加友好。它采用密码学强度的加密算法，支持多种加密算法，从而平衡了性能和安全性。其中，Jasypt的核心思想之一是基于密码的加密（Password Based Encryption，PBE），通过用户提供的密码生成加密密钥，然后使用该密钥对数据进行加密和解密。此外，Jasypt还引入了盐（Salt）的概念，通过添加随机生成的盐值，提高了加密的安全性，防止相同的原始数据在不同的加密过程中产生相同的结果，有效抵御彩虹表攻击。

在Spring Boot应用中，Jasypt Spring Boot Starter是一个方便的集成工具，可以简化加密功能的配置。它支持多种加密算法，包括对称加密和非对称加密，可以根据实际需求选择合适的加密方式。通过使用Jasypt Spring Boot Starter，可以轻松地将加密功能集成到Spring Boot应用中，无需手动配置复杂的加密相关的代码和配置文件。

整合springboot

1、导入依赖

 <dependency>
            <groupId>com.github.ulisesbocchio</groupId>
            <artifactId>jasypt-spring-boot-starter</artifactId>
            <version>2.1.0</version>
        </dependency>

        <dependency>
            <groupId>com.alibaba</groupId>
            <artifactId>druid</artifactId>
            <version>1.2.18</version>
        </dependency>

        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
            <version>5.1.47</version>
        </dependency>

        <dependency>
            <groupId>org.mybatis.spring.boot</groupId>
            <artifactId>mybatis-spring-boot-starter</artifactId>
            <version>2.2.0</version>
        </dependency>

        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <version>1.18.30</version>
        </dependency>

2、配置文件

  • 指定加密算法
  • 指定自己的秘钥，后期可以手动通过jvm设置，不需要放到配置文件中
# 加密配置
jasypt:
  encryptor:
    algorithm: PBEWithMD5AndDES
    #password: 1232323sdds #使用加密秘钥
    property:
      prefix: jasEnc(
      suffix: )

3、测试加密结果

我们使用root 字符串进行10次加密，但是每一次的结果都不一样，但是解密后还能得到密文

加密结果：rOpdwoepdL9VPYoRikFB7A==
5ZM8/cDBQMm6w1ad5JS7Kg==
0G+cQhAq8xTHEiskyr5llw==
CiwMMkQ2J+eajGUR8iC2OA==
SHkw5L6LdxSAkG9+fBj8tw==
pbJA2iifJ28QXPS1jBSZ9g==
x0m/p36RYF9eeRwDsY0vIQ==
doqPv+koOxmW8VWD6Q0l8g==
ECkOHsy6R1xpCdQ8d7fpYA==
WLp6FGscjAuPJ83gzljBrw==
X80q2/bXYvGs7lP1bN2HKw==
OebJ2wAgkICNMK2BDZzCNQ==
解密结果：root

@SpringBootTest
class SpringbootJasyptApplicationTests {

    @Autowired
    private StringEncryptor encryptor;

    @Test
    public void testEncry() {
        String username = "root";

        String encrypt = encryptor.encrypt(username);
        System.out.println("加密结果："+encrypt);
        IntStream.rangeClosed(0, 10)
                .forEach(num -> {
                    System.out.println(encryptor.encrypt(username));
                });

        String decrypt = encryptor.decrypt(encrypt);
        System.out.println("解密结果："+decrypt);
    }
}

4、我们如何使用

我们在配置文件中配置了加密的前缀和后缀为 jasEnc(xx 加密的字符串 )，我们在需要加密的地方使用这个方法即可；

  • 数据库连接使用

    #thymeleaf 配置
spring:
  thymeleaf:
    cache: false
    prefix: classpath:/templates/
    suffix: .html
  ## 数据源配置
  datasource:
    password: jasEnc(7FE+i7Z7mKV9JPmDurx7DA==)
    username: jasEnc(IU5mwd7eRVnX+zn0aIhIVg==)
    url: jdbc:mysql://${mysql.host}:3306/test_rbac?characterEncoding=UTF-8
    type: com.alibaba.druid.pool.DruidDataSource
    driver-class-name: com.mysql.jdbc.Driver

## mybatis 配置
mybatis:
  mapper-locations: classpath:/mybatis/mapper/com/fashion/*.xml

5、测试数据库能否正常获取到结果

[{“id”:3,“loginId”:“admin”,“nickName”:“管理员账号”,“password”:“$2a$10$5VUHUT6UJG1zrSWTbMMn5O0Hie3Qh0Q5kZ9wpDRm.VOOFNoYiOFdm”}]

6、实际生产环境如何使用

我们如果将秘钥直接配置到配置文件中，有暴露的风险，这个时候我们可以通过jvm 参数动态传进去设置，这样就可以避免参数泄露了

  • idea 设置方式

    在这里插入图片描述

  • 生产环境使用

    java -jar xxx.jar -Djasypt.encryptor.password=对应的秘钥

-Djasypt.encryptor.password=对应秘钥

星空寻流年
关注
专栏目录
Springboot跨域CORS处理实现原理
08-19
Springboot 跨域 CORS 处理实现原理 本文主要介绍了 Springboot 跨域 CORS 处理实现原理，通过示例代码详细讲解了跨域问题产生、解决方案和实现原理，对大家的学习或者工作具有一定的参考学习价值。 一、源...
SpringBoot 跨域问题的解决方案
08-25
SpringBoot 跨域问题的解决方案 在本文中，我们将讨论 SpringBoot 跨域问题的解决方案，这个问题是指浏览器从一个域名的网页取请求另一个域名下的东西，通俗点说，浏览器直接从 A 域访问 B 域中的资源是不被允许的...
SpringBoot 微服务 详解
共勉
06-29 3163
1、Bean对象管理 2、JSP和Thymeleaf模板集成 SpringBoot提供了两套模板集成，也就是Jsp和thymeleaf，首先还是了解一下jsp和thymeleaf ，对于jsp来说还是比较熟悉的。 经历过传统的java Web开发的人都知道jsp是可以响应用户请求的htnl页面。我们都知道HTML页面是静态的，为什么jsp能够部署于服务器上并且响应用户请求呢？因为jsp在HTML中嵌入了java代码。所以我们可以这样认为：jsp = java + HTML因为jsp页面中掺杂着后台的代码，使
SpringBoot
weixin_55232658的博客
09-25 275
一、自定义属性配置 第一种方式 developer.name=wangxiangqian @Controller public class IndexController { @Value("${developer.name}") private String user; @RequestMapping(value = "/say") public @ResponseBody String say(){ return user; } } 自定义配置映射到
SpringBoot学习
codekiang的博客
12-20 342
本文目录1. SpringBoot介绍特点环境准备HelloSpringBootmaven方式创建Spring Initializr方式创建启动配置项目打包starter默认扫描器 basepackage自动配置 autoconfiguration热部署2. 属性配置文件配置文件位置yml@ConfigurationProperties属性绑定@EnableConfigurationProperties@Bean@Validated属性校验@Value作用于数据绑定不同环境的配置文件@Conditional
SpringBoot笔记
Tinaliasd的博客
03-31 857
SpringBoot
SpringBoot + Spring Security + Thymeleaf实现权限控制
永封尘埃的博客
08-20 2831
第一步以来引入: 重要部分有两处 <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="...
SSM环境搭建
very_Coolpad的博客
10-15 479
Spring Boot 2.5.0 SSM环境搭建 spring springmvc mybatis spring springmvc mybatis 简单功能 员工添加 查询 所有 # 项目 - 需求分析 概要设计(库表设计) 详细设计(验证库表正确性) 编码(环境搭建+业务代码) 测试 部署上线 # 员工添加 查询所有功能 SSM - 库表 库: ssm 数据库:mysql 表: id name birthday salary # 编码 环境搭建 ssm sp
SpringBoot学习笔记
zerohsz的博客
12-27 383
1 springboot简介 Spring Boot是由Pivotal团队提供的全新框架，其设计目的是用来简化Spring应用的 初始搭建以及开发过程。该框架使用了特定的方式来进行配置，从而使开发人员不 再需要定义样板化的配置。通过这种方式，Spring Boot致力于在蓬勃发展的快速应 用开发领域(rapid application development)成为领导者。 Spring Boot 全新框架 作用: 简化spring应用初始搭建和开发过程 如何简化:开发人员使用springboot只要基于特
springboot整合JWT
monkey_yuan19的博客
08-18 269
本文对JWT的概念优势，以及运行过程进行了介绍，并对此实现了案例展示
简单高效快速整合SpringBoot+SpringSecurity+Jwt实现前后端分离权限框架
刘信晨
04-30 2523
一、效果、简叙 首先吐槽一下我以前看到(Security)的文章: 1、有标题没内容(标题很牛逼什么小白、新手都会的)； 2、只说核心的流程、处理要求，没有代码(大神你不懂的小白怎么操作，我们不会呀)； 3、有图有效果代码拉下来出错 留言不回复； 先给大家看一下效果吧 登录：验证权限: 二、代码编写 首先我先贴出我们Git地址: https://gitee.com/liurunyong/Spr...
Springboot跨域问题三种解决方案
08-19
在 Springboot 项目中，也可以使用 @CrossOrigin 注解来实现单个接口的跨域配置。例如： ```java @RestController @RequestMapping("/user") @CrossOrigin(origins = "*", maxAge = 3600) public class ...
解决前后端分离 vue+springboot 跨域 session+cookie失效问题
01-19
后端 springboot2.0 ip地址：192.168.1.217 主要开发后端。 问题： 首先登陆成功时将用户存在session中，后续请求在将用户从session中取出检查。后续请求取出的用户都为null。 解决过程： 首先发现sessionID不一致，...
解决 springboot跨域请求问题
05-11
SpringBoot作为后端框架，常用于构建服务层，而前端通常使用JavaScript库如jQuery或现代的Vue、React等进行页面交互。在这样的环境下，AJAX（异步JavaScript和XML）被广泛用来实现页面与后端接口的通信。然而，当...
洗衣店订单管理：Spring Boot技术实现
2401_85763803的博客
10-10 1262
所以产品在上线前必须反复测试，经过反复测试，修改，再测试，再修改，产品才能够不断完善。在整个系统测试中，根据需求文档和设计文档，逐一对功能进行检测并写好测试用例，有效避免残片缺陷，因为产品出现缺陷不仅影响功能，而且可以导致数据的不准确，导致产品质量的降低，经过测试，才能使得产品的稳定性和成熟度得到极大的提升，产品质量也才有保证。（2）该完整内容全面，管理方便可以及时的全面的处理各种错误，异常，这样避免了很多因用户的马虎操作而出现的失误，其操作方便，用户界面友好，能够上网的人都可以很好的进行操作。
洗衣店订单处理：Spring Boot系统的优势
最新发布
2402_85761468的博客
10-10 901
概念模式的设计方法是在需求分析的基础上，用概念数据模型（例如E-R模型）表示数据及数据之间的相互联系，设计出反映用户信息需求和处理需求的数据库系统概念模式。概念设计的目标是准确描述应用领域的信息模式，支持用户的各种应用，这样既容易转换为数据库系统逻辑模式，又容易为用户理解。在概念模式的设计中，E-R模型法是最常见的设计方法。概念设计的目标是设计出反映某个组织部门信息需求的数据库系统概念模式，数据库系统的概念模式独立于数据库系统的逻辑结构、独立于数据库管理系统（DBMS）、独立于计算机系统。
Spring Boot项目使用多线程执行定时任务
左直拳的马桶_日用桶
10-10 408
我在一个Spring Boot项目中，采用定时器执行一些操作，比如10秒就发送一次数据。这些操作有2个，如下所示。我就想，虽然这两个操作各自指定了时间频率，但如果其中一个操作非常耗时，会不会影响其他操作呢？答案是会。怎么办呢？AI告诉我，引入多线程。
Spring Boot新闻推荐：实时数据处理
2401_85439108的博客
10-04 1062
在整个系统测试中，根据需求文档和设计文档，逐一对功能进行检测并写好测试用例，有效避免残片缺陷，因为产品出现缺陷不仅影响功能，而且可以导致数据的不准确，导致产品质量的降低，经过测试，才能使得产品的稳定性和成熟度得到极大的提升，产品质量也才有保证。近来，软件工程界趋向于一种新的观点，即认为软件生命周期每一阶段中都应包含测试，从而检验本阶段的成果是否接近预期的目标，尽可能早的发现错误并加以修正，如果不在早期阶段进行测试，错误的延时扩散常常会导致最后成品测试的巨大困难。至此，在功能的测试上也已经比较圆满的完成了。
Springboot跨域
07-27
在Spring Boot中实现跨域请求可以通过以下几种方式： 1. 使用注解 @CrossOrigin 在控制器方法上使用 @CrossOrigin 注解，允许来自指定源的跨域请求。例如： ```java @CrossOrigin(origins = "http://example.com") @GetMapping("/api/data") public ResponseEntity<?> getData() { // 处理请求 } ``` 2. 配置跨域请求 在应用的配置文件中添加跨域请求的配置。例如，在 application.properties 文件中添加以下配置： ```properties # 允许来自指定源的跨域请求 cors.allowed-origins=http://example.com cors.allowed-methods=GET,POST,PUT,DELETE cors.allowed-headers=Authorization,Content-Type cors.allow-credentials=true ``` 3. 使用 WebMvcConfigurer 创建一个类实现 WebMvcConfigurer 接口，并覆盖 addCorsMappings 方法，设置允许跨域请求的配置。例如： ```java @Configuration public class WebConfig implements WebMvcConfigurer { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/api/**") .allowedOrigins("http://example.com") .allowedMethods("GET", "POST", "PUT", "DELETE") .allowedHeaders("Authorization", "Content-Type") .allowCredentials(true); } } ``` 以上是几种常见的实现跨域请求的方式。根据具体情况选择适合的方式进行配置。记得在配置跨域请求时，要考虑安全性，并只允许来自可信任的源的请求。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

星空寻流年

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值