《spring实战》学习笔记第四章保护Spring

最新推荐文章于 2023-08-22 13:25:34 发布

晦暗天明

最新推荐文章于 2023-08-22 13:25:34 发布

阅读量168

点赞数

分类专栏：《spring实战》学习笔记文章标签： java spring spring boot javaweb 安全

本文链接：https://blog.csdn.net/qq_37960629/article/details/115133593

版权

《spring实战》学习笔记专栏收录该内容

6 篇文章 1 订阅

订阅专栏

信息安全

4. 1 　启用 Spring Security

保护 Spring 应用的第一步就是将 Spring Boot security starter 依赖添加到构建文件中。

		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-security</artifactId>
		</dependency>

当应用启动的时候，自动配置功能会探测到 Spring Security 出现在了类路径中，因此它会初始化一些基本的安全配置。

所有的 HTTP 请求路径都需要认证；
不需要特定的角色和权限；
没有登录页面；
认证过程是通过 HTTP basic 认证对话框实现的；
系统只有一个用户，用户名为 user。

（但是光这些我怎么感觉屁用没有呢）

4. 2 　配置 Spring Security

最近几个版本的 Spring Security 都支持基于 Java 的配置，

Spring Security需要配置类

@SuppressWarnings("deprecation")
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
//……
}

配置后。 Spring Security 会为我们提供免费的简单登录页

Spring Security 为配置用户存储提供了多个可选方案，包括：

基于内存的用户存储；
基于 JDBC 的用户存储；
以 LDAP 作为后端的用户存储；
自定义用户详情服务。

不管使用哪种用户存储，你都可以通过覆盖 WebSecurityConfigurerAdapter 基础配置类中定义的 configure() 方法来进行配置。首先，我们可以将如下的方法添加到 SecurityConfig 类中：

@Override
  protected void configure(AuthenticationManagerBuilder auth) throws Exception {
//……
}

4. 2. 1 　基于内存的用户存储

用户信息可以存储在内存之中。假设我们只有数量有限的几个用户，而且这些用户几乎不会发生变化，在这种情况下，将这些用户定义成安全配置的一部分是非常简单的。

案例代码

  @Override
  protected void configure(AuthenticationManagerBuilder auth)
      throws Exception {
    
    auth
      .inMemoryAuthentication()
        .withUser("buzz")
          .password("infinity")
          .authorities("ROLE_USER")
        .and()
        .withUser("woody")
          .password("bullseye")
          .authorities("ROLE_USER");
    
  }

应该没有人会用这玩意吧，跳过跳过

4. 2. 2 　基于 JDBC 的用户存储

用户信息通常会在关系型数据库中进行维护，基于 JDBC 的用户存储方案会更加合理一些。

案例代码

  @Autowired
  DataSource dataSource;
  
  @Override
  protected void configure(AuthenticationManagerBuilder auth)
      throws Exception {
    
    auth
      .jdbcAuthentication()
        .dataSource(dataSource);
    
  }

重写默认的用户查询功能

案例代码

  @Override
  protected void configure(AuthenticationManagerBuilder auth)
      throws Exception {
    
    auth
      .jdbcAuthentication()
        .dataSource(dataSource)
        .usersByUsernameQuery(
            "select username, password, enabled from Users " +
            "where username=?")
        .authoritiesByUsernameQuery(
            "select username, authority from UserAuthorities " +
            "where username=?");
    
  }

在本例中，我们只重写了认证和基本权限的查询语句，但是通过调用 groupAuthorities ByUsername() 方法，我们也能够将群组权限重写为自定义的查询语句。

使用转码后的密码

上面的自定义认证查询，它预期用户密码存储在了数据库之中。这里唯一的问题在于如果密码明文存储，就很容易受到黑客的窃取。但是，如果数据库中的密码进行了转码，那么认证就会失败，

为了解决这个问题，我们需要借助 passwordEncoder() 方法指定一个密码转码器（ encoder）：

案例代码

  @Override
  protected void configure(AuthenticationManagerBuilder auth)
      throws Exception {
    
    auth
      .jdbcAuthentication()
        .dataSource(dataSource)
        .usersByUsernameQuery(
            "select username, password, enabled from Users " +
            "where username=?")
        .authoritiesByUsernameQuery(
            "select username, authority from UserAuthorities " +
            "where username=?")
        .passwordEncoder(new StandardPasswordEncoder("53cr3t");
    
  }

passwordEncoder() 方法可以接受 Spring Security 中 PasswordEncoder 接口的任意实现。 Spring Security 的加密模块包括了多个这样的实现。

BCryptPasswordEncoder：使用 bcrypt 强哈希加密。
NoOpPasswordEncoder：不进行任何转码。
Pbkdf2PasswordEncoder：使用 PBKDF2 加密。
SCryptPasswordEncoder：使用 scrypt 哈希加密。
StandardPasswordEncoder：使用 SHA- 256 哈希加密。

如果内置的实现无法满足需求时，你甚至可以提供自定义的实现。

4. 2. 3 　以 LDAP 作为后端的用户存储

我不大懂LDAP，这块没怎么看明白……

4. 2. 4 　自定义用户认证

这部分就是把上一章的代码用前面的知识进行改动，代码太多，知识点较少，跳过跳过。

核心改动：

让用户类实现UserDetails接口，通过实现 UserDetails 接口，我们能够提供更多信息给框架，比如用户都被授予了哪些权限以及用户的账号是否可用。

UserRepository接口新增一个查询用户方法，因为spring data jpa的关系，可以只写接口不写实现。

新增service层的UserRepositoryUserDetailsService类，来进行查找用户

4. 3 　保护 Web 请求

主页、登录页和注册页应该对未认证的用户开放。为了配置这些安全性规则，需要介绍一下 WebSecurityConfigurerAdapter 的其他 configure() 方法：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
//……
}

功能：

在为某个请求提供服务之前，需要预先满足特定的条件；
配置自定义的登录页；
支持用户退出应用；
预防跨站请求伪造。

4. 3. 1 　保护请求

我们需要确保只有认证过的用户才能发起对“/ design” 和“/ orders” 的请求，而其他请求对所有用户均可用。如下的 configure() 实现就能实现这一点：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .authorizeRequests()
        .antMatchers("/design", "/orders")
          .hasRole("ROLE_USER")
        .antMatchers("/", "/**").permitAll()
        ;
}

对 authorizeRequests() 的调用会返回一个对象（ ExpressionInterceptUrlRegistry），基于它我们可以指定 URL 路径和这些路径的安全需求。在本例中，我们指定了两条安全规则：

具备 ROLE_ USER 权限的用户才能访问“/ design” 和“/ orders”；
其他的请求允许所有用户访问。

这些规则的顺序是很重要的。 声明在前面的安全规则比后面声明的规则有更高的优先级。

声明请求路径的方法有很多，具体的太多了。自己看书或者百度

除此之外，我们还可以使用 access() 方法，通过为其提供 SpEL 表达式来声明更丰富的安全规则。只写表达式更加灵活。

重写代码

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .authorizeRequests()
        .antMatchers("/design", "/orders")
          .access("hasRole('ROLE_USER')")
        .antMatchers("/", "/**").access("permitAll")
        ;
}

4. 3. 2 　创建自定义的登录页

为了替换内置的登录页，我们首先需要告诉 Spring Security 自定义登录页的路径是什么。这可以通过调用传入到 configure() 中的 HttpSecurity 对象的 formLogin() 方法来实现：.and().formLogin().loginPage("/ login")

前端页面代码：略

默认情况下，登录成功之后，用户将会被导航到 Spring Security 决定让用户登录之前的页面。

但是，我们可以通过指定默认的成功页来更改这种行为：

.and().formLogin().loginPage("/login").defaultSuccessUrl("/design")

总之这个配置还能玩出很多花样

4. 3. 3 　退出

退出和应用的登录是同等重要的。为了启用退出功能，我们只需在 HttpSecurity 对象上调用 logout 方法：

.and().logout().logoutSuccessUrl("/")

这样会搭建一个安全过滤器，该过滤器会拦截对“/ logout” 的请求。所以，为了提供退出功能，我们需要为应用的视图添加一个退出表单和按钮：

    <form method="POST" th:action="@{/logout}" id="logoutForm">
      <input type="submit" value="Logout"/>
    </form>

当用户点击按钮的时候，他们的 session 将会被清理，这样他们就退出应用了。默认情况下，用户会被重定向到登录页面，这样他们可以重新登录。但是，如果你想要将他们导航至不同的页面，那么可以调用 logoutSuccessUrl() 指定退出后的不同页面：.and().logout().logoutSuccessUrl("/") 这句就会返回首页。

4. 3. 4 　防止跨站请求伪造

跨站请求伪造（ Cross- Site Request Forgery， CSRF）是一种常见的安全攻击。它会让用户在一个恶意的 Web 页面上填写信息，然后自动（通常是秘密的）将表单以攻击受害者的身份提交到另外一个应用上。

为了防止这种类型的攻击，应用可以在展现表单的时候生成一个 CSRF token，并放到隐藏域中，然后将其临时存储起来，以便后续在服务器上使用。在提交表单的时候， token 将和其他的表单数据一起发送至服务器端。请求会被服务器拦截，并与最初生成的 token 进行对比。如果 token 匹配，那么请求将会允许处理；否则，表单肯定是由恶意网站渲染的，因为它不知道服务器所生成的 token。

Spring Security 提供了内置的CSRF 保护。更幸运的是，默认它就是启用的，我们不需要显式配置它。我们唯一需要做的就是确保应用中的每个表单都要有一个名为“_ csrf” 的字段，它会持有 CSRF token。Spring Security 甚至进一步简化了将 token 放到请求的“_ csrf” 属性中这一任务。在 Thymeleaf 模板中，我们可以按照如下的方式在隐藏域中渲染 CSRF token：

<input type="hidden" name="_csrf" th:value="${_ csrf.token}"/>

如果你使用 Spring MVC 的 JSP 标签库或者 Spring Security 的 Thymeleaf 方言，那么甚至都不用明确包含这个隐藏域（这个隐藏域会自动生成）。

在 Thymeleaf 中，我们只需要确保< form> 的某个属性带有 Thymeleaf 属性前缀即可。通常这并不是什么问题，因为我们一般会使用 Thymeleaf 渲染相对于上下文的路径。例如，为了让 Thymeleaf 渲染隐藏域，我们只需要使用 th: action 属性就可以了：

<form method="POST" th:action="@{/login}" id="loginForm">

4. 4 　了解用户是谁

我们有多种方式确定用户是谁，常用的方式如下：

注入 Principal 对象到控制器方法中；
注入 Authentication 对象到控制器方法中；
使用 SecurityContextHolder 来获取安全上下文；
使用@ AuthenticationPrincipal 注解来标注方法。

最整洁的方案可能是在 processOrder() 中直接接受一个 User 对象，不过我们需要为其添加@ AuthenticationPrincipal 注解，这样它才会变成认证的 principal：

  @PostMapping
  public String processOrder(@Valid Order order, Errors errors, 
      SessionStatus sessionStatus, 
      @AuthenticationPrincipal User user) {
    
    if (errors.hasErrors()) {
      return "orderForm";
    }
    
    order.setUser(user);
    
    orderRepo.save(order);
    sessionStatus.setComplete();
    
    return "redirect:/";
  }

在 processOrder() 得到 User 对象之后，我们就可以使用它并赋值给 Order 了。

还有另外一种方式能够识别当前认证用户是谁，但是这种方式有点麻烦，它会包含大量安全性相关的代码。我们可以从安全上下文中获取一个 Authentication 对象，然后像下面这样获取它的 principal：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication(); 
User user = (User)authentication.getPrincipal();

它可以在应用程序的任何地方使用，而不仅仅是在控制器的处理器方法中。这使得它非常适合在较低级别的代码中使用。

4. 5 　小结

Spring Security 的自动配置是实现基本安全性功能的好办法，但是大多数的应用都需要显式的安全配置，这样才能满足特定的安全需求。
用户详情可以通过用户存储进行管理，它的后端可以是关系型数据库、 LDAP 或完全自定义实现。
Spring Security 会自动防范 CSRF 攻击。
已认证用户的信息可以通过 SecurityContext 对象（该对象可由 SecurityContextHolder. getContext() 返回）来获取，也可以借助@ AuthenticationPrincipal 注解将其注入到控制器中。

晦暗天明

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
《spring实战》学习笔记第四章保护Spring

信息安全4. 1 　启用 Spring Security保护 Spring 应用的第一步就是将 Spring Boot security starter 依赖添加到构建文件中。 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> .
复制链接

扫一扫