Spring Security简述

最新推荐文章于 2024-09-27 18:53:55 发布
最新推荐文章于 2024-09-27 18:53:55 发布
阅读量147 收藏
点赞数 1
原文链接：https://docs.spring.io/spring-security/reference/servlet/getting-started.html
版权

Spring Security Servlet过滤器 安全过滤器链 异常处理 请求缓存
关键词由CSDN通过智能技术生成

官网地址Architecture :: Spring Security

首先在官网下载示例

Hello Spring Security :: Spring Security

 

项目的代码非常简单，只有一个启动类，跑起来后会显示

Using generated security password: 47277899-ee11-44ca-b7fc-50c1001da7ab

这是因为SpringBoot自动配置的原因。Spring Boot自动为我们配置了bean。

启用Spring Security的预设设定，此设定会将Servlet过滤器建立为名为springSecurityFilterChain的Bean。此Bean负责应用程序中的所有安全性（保护应用程序URL、验证提交的用户名和密码、重定向到登录表单等）。 使用user的用户名和随机生成的密码创建UserDetailsService Bean，该密码将记录到控制台。 在Servlet容器中为每个请求注册名为springSecurityFilterChain的Bean的过滤器（Filter）。

Spring Boot配置不多，但它做了很多。功能概述如下：

  • 需要经过身份验证的用户才能与应用程序进行任何交互

  • 为您生成默认登录表单

  • 让用户使用用户名user和登录到控制台的密码进行基于表单的身份验证（在前面的示例中，密码为47277899-ee11-44ca-b7fc-50c1001da7ab）

  • 使用BCrypt保护密码存储

  • 允许用户注销

  • CSRF攻击预防

  • 会话固定保护

  • 安全标头集成

  • 安全请求的HTTP严格传输安全

  • X-Content-Type-Options集成

  • 缓存控制（稍后可以由应用程序覆盖，以允许缓存静态资源）

  • X-XSS保护集成

  • X-Frame-Options集成有助于防止点击劫持

与以下Servlet API方法集成：

HttpServletRequest#getRemoteUser（）

HttpServletRequest.html#getUserPrincipal（）

HttpServletRequest.html#isUserInRole（java.lang.String）

HttpServletRequest.html#login（java.lang.String，java.lang.String）

HttpServletRequest.html#logout（）

A Review of Filters

过滤器概述

Spring Security的Servlet支持是基于Servlet过滤器的，因此首先大致了解一下过滤器的作用是很有帮助的。下图显示了单个HTTP请求的处理程序的典型分层。

 

客户端向应用程序发送一个请求，容器创建一个FilterChain(过滤器链)，它包含Filter实例和Servlet，这些实例和Servlet将根据请求URI的路径处理HttpServletRequest。在Spring MVC应用程序中，Servlet是DispatcherServlet的实例。一个Servlet最多只能处理一个HttpServletRequest和HttpServletResponse。但是，可以使用多个过滤器来：

  • 防止调用下游Filter实例或Servlet。 在这种情况下，Filter通常会写入HttpServletResponse。

  • 修改被下游过滤器实例和Servlet使用的 HttpServletRequest 或者 HttpServletResponse

DelegatingFilterProxy

委托过滤器代理

Spring提供了一个名为DelegatingFilterProxy的Filter实现，它允许在Servlet容器的生命周期和Spring的ApplicationContext之间建立桥接。Servlet容器允许使用其自己的标准注册Filter实例，但它不知道Spring定义的Bean。您可以通过标准Servlet容器机制注册DelegatingFilterProxy，但将所有工作委托给实现Filter的Spring Bean。

 

DelegatingFilterProxy的另外一个好处是 它允许延迟查找 Filter bean 实例. 这很重要因为容器需要在能启动前注册Filter 实例. 然而Spring通常使用一个ContextLoaderListener去加载Spring的bean，这直到需要注册Filter实例后才完成。（Filter懒加载）

FilterChainProxy

过滤器链代理

Spring Security的Servlet支持被包含在FilterChainProxy中。FilterChainProxy 是Spring Security提供的一个特殊的Filter，它允许通过SecurityFilterChain委托（选择）许多Filter实例。由于FilterChainProxy是一个bean，它通常被打包在一个DelegatingFilterProxy中。

下图展示了FilterChainProxy的角色

 

SecurityFilterChain

安全过滤器链

SecurityFilterChain is used by FilterChainProxy to determine which Spring Security Filter instances should be invoked for the current request.

FilterChainProxy使用SecurityFilterChain来确定应为当前请求调用哪些Spring安全过滤器实例。

FilterChainProxy使用SecurityFilterChain来决定哪些Spring Security Filter 实例对于当前请求来说应该被调用。

 

在SecurityFilterChain中的Security Filter通常是bean，但是它们是被FilterChainProxy注册而不是DelegatingFilterProxy。FilterChainProxy直接向Servlet容器或DelegatingFilterProxy注册有许多优点。首先，他提供了一个面向所有SpringSecurity的Servlet支持的起点。因为这个原因，如果你想找到Spring Security的 Servlet 支持中的问题，添加一个断点在FilterChainProxy中是一个很好的开始位置。（SpringSecurity的Servlet支持大致意思是SpringSecurity提供的支持Servlet标准（Servlet、Filter）的bean）

其次，由于FilterChainProxy 是使用Spring Security的中心，因此它可以执行不被视为可选的任务。例如，它可以清除SecurityContext以避免内存泄漏。它还可以应用Spring Security的HttpFirewall来保护应用程序免受某些类型的攻击。

 

在上图中，FilterChainProxy决定哪些SecurityFilterChain应被使用。 只有第一个匹配到的SecurityFilterChain被调用。 如果URL/api/message/被请求，则它首先匹配SecurityFilterChain0的模板路径/api/**，所以只有SecurityFilterChain0被调用，尽管它同样匹配SecurityFilterChainn，如果一个为/messages/的路径被请求，它不匹配SecurityFilterChain0中的模板路径/api/**，所以FilterChainProxy 继续尝试每个SecurityFilterChain，假设没有其他SecurityFilterChain实例匹配，SecurityFilterChainn将被调用。

注意SecurityFilterChain0只有三个security Filter被配置，然而SecurityFilterChainn有四个security Filter实例被配置，记住每个SecurityFilterChain能够独立存在并且可以隔离地配置是很重要的。事实上，如果应用程序想忽略某些确定的请求时，一个SecurityFilterChain可能一个security Filter实例都没有。

Security Filters

安全过滤器

Security Filters通过 SecurityFilterChain API被插入到FilterChainProxy中。Filter实例的执行顺序很重要。通常来说，知道Spring Security的Filter实例的顺序是不必要的，然而，有时候知道顺序是很有好处的。

以下是SpringSecurityFilter执行顺序的完整列表：

Handling Security Exceptions

处理安全异常

ExceptionTranslationFilter允许将AccessDeniedException 和AuthenticationException 转换为HTTP响应。

ExceptionTranslationFilter作为 Security Filters之一被插入到FilterChainProxy中，下图展示了ExceptionTranslationFilter 和其他组件之间的关系：

 

  • 首先ExceptionTranslationFilter调用FilterChain.doFilter(request, response)去调用程序的其他部分（也就是放行）

  • 如果用户是未经过认证的或者它是一个认证异常，那么就开始认证

    • SecurityContextHolder被清除

    • HttpServletRequest被保存，所以在认证成功后可以用来重放原始请求。

  • AuthenticationEntryPoint用于从客户端请求凭据。例如，它可能重定向到登录页面或发送“WWW-Authenticate”标头。

    • 否则，如果他是一个AccessDeniedException那么就拒绝请求，然后AccessDeniedHandler被调用来处理请求被拒绝。

提示：如果应用程序未引发AccessDeniedException或AuthenticationException，则ExceptionTranslationFilter不会执行任何操作。

ExceptionTranslationFilter 的伪代码如下：

 try {
     filterChain.doFilter(request, response);//尝试放行
 } catch (AccessDeniedException | AuthenticationException ex) {//抓取异常
     if (!authenticated || ex instanceof AuthenticationException) {//判断异常类型
         startAuthentication();//开始认证
     } else {
         accessDenied();//拒绝请求
     }
 }

Saving Requests Between Authentication

认证过程中保存请求

如“处理SecurityException”中所示，当请求没有身份验证并且是针对需要身份验证的资源时，需要保存请求，以便在身份验证成功后重新请求已验证的资源。在SpringSecurity中，这是通过使用RequestCache实现保存HttpServletRequest来完成的。

RequestCache

请求缓存

HttpServletRequest保存在RequestCache中。当用户成功进行身份验证时，RequestCache将用于重放原始请求。RequestCacheAwareFilter使用RequestCache保存HttpServletRequest。 默认情况下，使用HttpSessionRequestCache。下面的代码演示了如何自定义RequestCache实现，如果存在名为continue的参数，则该实现用于检查HttpSession中保存的请求。

RequestCacheAwareFilter

请求缓存感知过滤器

RequestCacheAwareFilter使用RequestCache保存HttpServletRequest。

?Naive?????
关注
springsecurity 认证之密码模式
congge
11-21 3万+
前言 在上一篇security授权码模式实现单点登录一篇中，我们分享并演示了springsecurity 的完整的授权码流程，本篇我们来谈谈springsecurity 的另一种稍微简单但也是实际工作中比较常用的认证模式，密码模式 密码模式简介 相对于验证码模式，密码模式要简单一些，少了第一步中需要先获取code的流程，即下图中 “网站” => “微信认证” 流程中获取授权码的步骤，后面的步骤仍然和授权码的过程相同， 于是完整的过程就是下面这样： 获取token 使用token请求授权的资源
Spring Security源码解析（一）
qq_40577332的博客
05-30 3379
Spring Security是什么？ Spring官网中对Spring Security有这么一段介绍： Spring Security is a powerful and highly customizable authentication and access-control framework. It is the de-facto standard for securing Spring-based applications. Spring Security is a frame...
SpringSecurity详解
m0_71012114的博客
10-19 5048
本文详解介绍了security原理、多种方式配置登录、角色和权限访问控制、常用注解、用户注销。
SpringSecurity简介
justlpf的专栏
04-10 1476
SecurityContextHolder是spring security最基本的组件。用于存储安全上下文（security context）的信息。当前操作的用户是谁，该用户是否已经被认证，他拥有哪些角色权限等这些都被保存在SecurityContextHolder中。SecurityContextHolder默认是使用ThreadLocal实现的（），这样就保证了本线程内所有的方法都可以获得SecurityContext对象。
scrapy自定义Request的缓存策略（减少内存占用）
u011734144的专栏
11-30 2268
scrapy-redis大概的架构： 从redis中拉url，构造Request对象，写入SCHEDULER_QUEUE_CLASS定义的队列中，调度器从队列中拉取Request进行抓取 想自定义Request的初衷主要是为了减少内存的占用，当然虽然我们的内存消耗的也不是那么多，也就几个G scrapy自带的几个队列有这么几个： * scrapy_redis.queue.SpiderQu...
SpringSecurity概述
一名蒟蒻的博客
07-23 1359
一、SpringSecurity概述 1、SpringSecurity简介： ​ Spring 是非常流行和成功的 Java 应用开发框架，Spring Security 正是 Spring 家族中的成员。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。 2、基本功能： 主要功能是“认证”和“授权”，Web 应用的安全性包括**用户认证（Authentication）和用户授权（Authorization）**两个部分，这两点也是 Spring
Spring Security 简介
热门推荐
xlecho的博客
04-21 6万+
xl_echo编辑整理，欢迎转载，转载请声明文章来源。更多IT、编程案例、资料请联系QQ：1280023003 百战不败，依不自称常胜，百败不颓，依能奋力前行。——这才是真正的堪称强大！！ 本文转载自：https://blog.csdn.net/u012517198/article/details/51648074 在 Web 应用开发中，安全一直是非常重要的一个方面。安全虽然属于应用...
spring security——基本介绍（一）
m0_68850571的博客
04-10 2585
一、spring security 简介 spring security 的核心功能主要包括： 认证 （你是谁） 授权 （你能干什么） 攻击防护 （防止伪造身份） 其核心就是一组过滤器链，项目启动后将会自动配置。最核心的就是 Basic Authentication Filter 用来认证用户的身份，一个在spring security中一种过滤器处理一种认证方式。 比如，对于username password认证过滤器来说， 会检查是否是一个登录请求； 是否包含username
Spring Security+JWT简述
m0_67266585的博客
09-08 2179
Spring Security是Spring家族的一个安全管理框架, 相比于另一个安全框架Shiro, 它具有更丰富的功能。一般中大型项目都是使用SpringSecurity做安全框架, 而Shiro上手比较简单spring security 的核心功能:认证(你是谁): 只有你的用户名或密码正确才能访问某些资源授权(你能干嘛): 当前用户具有哪些功能, 将资源进行划分, 如在公司中分为普通资料和高级资料, 只有经理用户以上才能访文高级资料, 其他人只能拥有访问普通资料的权限。
简述什么是SpringSecurity
weixin_51465373的博客
12-23 900
SpringSecurity 简介 Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。它实际上是保护基于spring的应用程序的标准。 Spring Security是一个框架，侧重于为Java应用程序提供身份验证和授权。与所有Spring项目一样，Spring安全性的真正强大之处在于它可以轻松地扩展以满足定制需求 从官网的介绍中可以知道这是一个权限框架。想我们之前做项目是没有使用框架是怎么控制权限的？对于权限 一般会细分为功能权限，访问权限，和菜单权限。代码会写的非常的繁琐
SpringSecurity学习笔记
weixin_43691773的博客
10-18 592
SpringSecurity 转载于狂神 文章目录SpringSecurity一、安全简介二、SpringSecurity简介三、使用步骤1.创建一个项目2.新建config类进行配置（1）官方模板（2）定制请求的授权规则（3）开启自动配置的登录功能（4）配置认证方法（5）数据库的认证方式（6） 权限控制和注销（7）thymeleaf spring security整合总结 一、安全简介 Web 开发中，安全一直是非常重要的一个方面。安全虽然属于应用的非功能性需求，但是应该在应用开发的初期就考虑进来。
spring security系列一：架构概述
weixin_33762321的博客
12-24 238
一直以来都想好好写一写spring security 系列文章，每每提笔又不知何处下笔，又赖于spring security体系强大又过于繁杂，且spring security 与auth2.0结合的时候又很难理解，最近项目告一段落，闲来无事好好对spring security 进行总结和回顾。 核心组件 主要介绍一些在Spring Se...
Spring Security(一) 简介
jiangbr的博客
09-06 710
简介 Spring Security 是什么？ spring security 是基于spring框架，提供了一套 Web 应用安全性的完整解决方案一般来说，Web 应用的安全性包括用户认证（Authentication）和用户授权（Authorization）两个部分。用户认证指的是验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求用户提供用户名和密码。系统通过校验...
Spring Security简介
qq_40432598的博客
02-12 2050
Spring Security简介
NSURLRequest各种缓存方式讲解
小天空的博客
07-08 3715
今日刚上班，就收到了一个比较诡异的问题。 客户反馈，app上面天气界面显示的天气，和他本人从其他app得到的天气温度范围不一致而且差距较大。 获取天气的接口 (http://api.map.baidu.com/telematics/v3/weather) 。赶紧打开Xcode 亲自获取了一下发现我们这边获取的确实不一样。这就纳闷了，百度不该坑我啊，仔细一看，原来得到天气日期是昨天的。但是呢，我在...
关于springboot中使用RequestCache
earthsomeday的博客
07-20 3027
关于springboot中使用RequestCache 如果使用RequestCache获取之前的跳转的链接，则必须设置session的缓存机制，不能将缓存设置为none。 // 如果要获取savedRequest 必须设置session的缓存 不能为none SavedRequest savedRequest = requestCache.getRequest(request, resp...
springboot+neo4j demo
最新发布
极客栈
09-27 293
这个简单的示例展示了如何在Spring Boot应用中集成Neo4j，包括创建节点实体、使用Neo4j仓库接口以及创建一个简单的REST控制器。这个示例可以作为开发者学习和实践Spring Boot与Neo4j集成的起点。以下是一个简单的Spring Boot与Neo4j集成的示例代码。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值