计时攻击在Spring Boot中该如何防御?

最新推荐文章于 2023-11-08 10:29:10 发布

Java全能架构师

最新推荐文章于 2023-11-08 10:29:10 发布

阅读量452

点赞数

分类专栏：微服务架构 spring boot 编程语言文章标签：数据库 spring spring boot java 安全

本文链接：https://blog.csdn.net/weixin_48182198/article/details/108381902

版权

本文探讨了Spring Security如何防止计时攻击。在用户登录时，Spring Security通过执行特定步骤确保无论用户是否存在，密码校验耗时保持一致，从而避免攻击者通过比较时间差推测用户是否存在。

摘要由CSDN通过智能技术生成

很多人吐槽 Spring Security 比 Shiro 重量级，这个重量级不是凭空来的，重量有重量的好处，就是它提供了更为强大的防护功能。

比如我最近看到的一段代码：

protected final UserDetails retrieveUser(String username,
  UsernamePasswordAuthenticationToken authentication)
  throws AuthenticationException {
 prepareTimingAttackProtection();
 try {
  UserDetails loadedUser = this.getUserDetailsService().loadUserByUsername(username);
  if (loadedUser == null) {
   throw new InternalAuthenticationServiceException(
     "UserDetailsService returned null, which is an interface contract violation");
  }
  return loadedUser;
 }
 catch (UsernameNotFoundException ex) {
  mitigateAgainstTimingAttack(authentication);
  throw ex;
 }
 catch (InternalAuthenticationServiceException ex) {
  throw ex;
 }
 catch (Exception ex) {
  throw new InternalAuthenticationServiceException(ex.getMessage(), ex);
 }
}

这段代码位于 DaoAuthenticationProvider 类中，为了方便大家理解，我来简单说下这段代码的上下文环境。

当用户提交用户名密码登录之后，Spring Security 需要根据用户提交的用户名去数据库中查询用户，这块如果大家不熟悉，可以参考松哥之前的文章：