SpringSecurity

最新推荐文章于 2024-02-15 23:49:04 发布
最新推荐文章于 2024-02-15 23:49:04 发布
阅读量450 收藏
点赞数
分类专栏： java 文章标签： bash linux 开发语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zhouhe_/article/details/121623456
版权

文章目录

Spring Security 简介

Spring 是非常流行和成功的java开发框架，Spring Security正是Spring 家族中的成员。Spring Security基于Spring框架，提供一套Web应用安全性的解决方案。

正如您可能知道的关于安全方面的两个区域 “认证"和"授权”（或者访问控制）,一般来说，Web应用的安全性包括 **用户认证（Authentication） 和 用户授权（Authorization）**两个部分，这两点也是Spring Security重要核心功能。

（1）用户认证指的是： 验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认证过程。通俗点说就是系统认为用户是否能登录

（2）用户授权指的是验证某个用户是否有权限执行某个操作。在一个系统中，不同用户所具有的权限是不同的。比如对一个文件来说，有的用户只能进行读取，而有的用户可以进行修改。一般来说，系统会为不同的用户分配不同的角色，而每个角色对应一系列权限。通俗点讲就是系统判断用户是否有权限去做某些事情

入门案例

  1. 创建一个Springboot工程

  2. 改pom

    <dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-test</artifactId>
        <scope>test</scope>
    </dependency>
</dependencies>

  3. 创建一个controller

    @RestController
@RequestMapping("/login")
public class LoginController {
    @GetMapping("hello")
    public String hello(){
        return "Hello world";
    }
}

4.测试

Spring Security基本原理

Spring Security 本质是一个过滤器链

FileterSecurityInterceptor：方法级的权限过滤器，基于过滤器的最底部

ExceptionTranslationFilter：判断授权过程中的异常

UsernamePasswordAuthenticationFilter: 校验用户名和密码

Spring Security过滤器是如何加载的？

Spring boot对于Spring Security提供了自动化配置方案：

使用SpringSecurity配置过滤器

DelegatingFilterProxy

UseDetailsService接口

用于查询数据库用户名和密码

创建一个类 继承UsernamePasswordAuthenticationFilter，重写三个方法

创建类 实现UseDetailsService，编写查询数据过程，返回User对象

这个User对象是安全框架提供的对象

PasswordEncoder接口

对密码进行加密

WEB权限方案

如何设置登录的用户名和密码

第一种方式：通过配置application文件进行配置

spring.security.user.name=admin
spring.security.user.password=admin

第二种范式：创建配置类

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
        String password = encoder.encode("admin");
        auth.inMemoryAuthentication().withUser("admin").password(password).roles("admin");
    }

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }
}

第三种方式：自定义编写实现类

登录，首先security框架会去配置文件和配置类中找 用户名和 密码 ，如果不存在，就会去找UserDetailService接口

  1. 创建配置类，设置使用哪个UserDetailService实现类

    @Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }
}

  2. 编写实现类，返回User对象，User对象有用户名、密码和权限

    @Service("userDetailsService")
public class MyUserDetailService implements UserDetailsService {
    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        Collection<GrantedAuthority> role = AuthorityUtils.commaSeparatedStringToAuthorityList("role");
        User user = new User("admin",new BCryptPasswordEncoder().encode("admin"),role);
        return user;
    }
}

  3. 测试

基于mybatis plus配置的方式登录

pom

<dependencies>
    <dependency>
        <groupId>mysql</groupId>
        <artifactId>mysql-connector-java</artifactId>
        <version>8.0.21</version>
    </dependency>
    <dependency>
        <groupId>com.baomidou</groupId>
        <artifactId>mybatis-plus-boot-starter</artifactId>
        <version>3.4.0</version>
    </dependency>
    <dependency>
        <groupId>org.projectlombok</groupId>
        <artifactId>lombok</artifactId>
        <version>1.18.20</version>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-test</artifactId>
        <scope>test</scope>
    </dependency>
</dependencies>

application

spring.datasource.driver-class-name=com.mysql.cj.jdbc.Driver
spring.datasource.url=jdbc:mysql://localhost:3306/boot1?serverTimezone=GMT%2B8
spring.datasource.username=root
spring.datasource.password=034312

entity

@Data
public class User {
    private Integer id;
    private String name;
    private String pwd;
}

mapper

@Repository
public interface UserMapper extends BaseMapper<User> {
}

config

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    public  PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }
}

service

@Service("userDetailsService")
public class MyUserDetailService implements UserDetailsService{

    @Autowired
    private UserMapper userMapper;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        QueryWrapper<com.zhj.springsecuritydemo.entity.User> wrapper = new QueryWrapper<>();
        wrapper.eq("name",username);
        com.zhj.springsecuritydemo.entity.User user = userMapper.selectOne(wrapper);
        if(user == null){
            throw new UsernameNotFoundException("用户名不存在");
        }
        return new User(user.getName()
                ,new BCryptPasswordEncoder().encode(user.getPwd())
                ,AuthorityUtils.commaSeparatedStringToAuthorityList("role"));
    }
}

启动类

@SpringBootApplication
@MapperScan("com.zhj.springsecuritydemo.mapper")
public class SpringsecuritydemoApplication {

    public static void main(String[] args) {
        SpringApplication.run(SpringsecuritydemoApplication.class, args);
    }

}

测试

自定义登录界面

config

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin() // 自定义登录页面
                .loginPage("/login.html") //登录页面设置
                .loginProcessingUrl("/user/login") // 登录访问路径
                .defaultSuccessUrl("/login/index").permitAll() // 登录成功之后跳转路径
                .and().authorizeRequests()
                .antMatchers("/", "/login/hello").permitAll()// 设置路径可以直接访问， 不需要认证
                .anyRequest().authenticated()
                .and().csrf().disable();// 关闭csrf防护

    }
}

controller

@RestController
@RequestMapping("/login")
public class LoginController {
    @GetMapping("hello")
    public String hello(){
        return "Hello world";
    }

    @GetMapping("index")
    public String index(){
        return "login success";
    }


}

static

<!DOCTYPE html>
<html lang="en" xmlns="http://www.w3.org/1999/xhtml"
      xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<pre>
    <form action="/user/login" method="post">
       用户名： <input type="text" name="username"> <!-- name="username" 不允许变-->
        密码： <input type="password" name="password">  <!-- name="password" 不允许变-->
        <input type="submit" value="登录" >
    </form>
</pre>
</body>
</html>

权限设置

hasAuthority ：当前主体具有制定的权限，则返回true，否则返回false

  1. 在配置类设置当前访问地址有哪些权限

    @Override
protected void configure(HttpSecurity http) throws Exception {
    http.formLogin() // 自定义登录页面
            .loginPage("/login.html") //登录页面设置
            .loginProcessingUrl("/user/login") // 登录访问路径
            .defaultSuccessUrl("/login/index").permitAll() // 登录成功之后跳转路径
            .and().authorizeRequests()
            .antMatchers("/", "/login/hello").permitAll()// 设置路径可以直接访问， 不需要认证
            .antMatchers("/login/index").hasAuthority("admin")// 设置admin权限 -----------
            .anyRequest().authenticated()
            .and().csrf().disable();// 关闭csrf防护

}

  2. 在userDetailService，返回user对象的权限

    @Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    QueryWrapper<com.zhj.springsecuritydemo.entity.User> wrapper = new QueryWrapper<>();
    wrapper.eq("name",username);
    com.zhj.springsecuritydemo.entity.User user = userMapper.selectOne(wrapper);
    if(user == null){
        throw new UsernameNotFoundException("用户名不存在");
    }
    return new User(user.getName()
            ,new BCryptPasswordEncoder().encode(user.getPwd())
            ,AuthorityUtils.commaSeparatedStringToAuthorityList("admin"));
}

hasAnyAuthority ：多个权限

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.formLogin() // 自定义登录页面
            .loginPage("/login.html") //登录页面设置
            .loginProcessingUrl("/user/login") // 登录访问路径
            .defaultSuccessUrl("/login/index").permitAll() // 登录成功之后跳转路径
            .and().authorizeRequests()
            .antMatchers("/", "/login/hello").permitAll()// 设置路径可以直接访问， 不需要认证
            //.antMatchers("/login/index").hasAuthority("admin")// 只有一个主体admin权限 -----------
            .antMatchers("/login/index").hasAnyAuthority("admin,manage")// 多个权限 -----------
            .anyRequest().authenticated()
            .and().csrf().disable();// 关闭csrf防护

}

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    QueryWrapper<com.zhj.springsecuritydemo.entity.User> wrapper = new QueryWrapper<>();
    wrapper.eq("name",username);
    com.zhj.springsecuritydemo.entity.User user = userMapper.selectOne(wrapper);
    if(user == null){
        throw new UsernameNotFoundException("用户名不存在");
    }
    return new User(user.getName()
            ,new BCryptPasswordEncoder().encode(user.getPwd())
            ,AuthorityUtils.commaSeparatedStringToAuthorityList("manage"));
}

hasRole : 针对某一个角色

.antMatchers("/login/index").hasRole("sale") // 只有一个角色

return new User(user.getName()
        ,new BCryptPasswordEncoder().encode(user.getPwd())
        ,AuthorityUtils.commaSeparatedStringToAuthorityList("admin,ROLE_sale")); // 注意前缀

hasAnyRole ： 针对多个角色,多个角色满足其中一个角色即可

类似上面

自定义无权限访问页面

configure(HttpSecurity http)方法中添加：

// 自定以没有权限访问的页面
http.exceptionHandling().accessDeniedPage("/unauth.html");

html

<!DOCTYPE html>
<html lang="en" xmlns="http://www.w3.org/1999/xhtml"
      xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1> 哈哈 您没有权限</h1>

</body>
</html>

注解的使用

@Secured

判断是否具有角色，另外需要注意的是这里匹配的字符串需要添加前缀 “_ROLE”；

使用注解先要开启注解功能 启动类配置：

@EnableGlobalMethodSecurity(securedEnabled=true)

然后对应controller方法 使用注解 例如：

@Secured("ROLE_sale")
@GetMapping("update")
public String update(){
    return "hello  update";
}
@PreAuthorize

注解适合进入方法的权限验证， @Preauthorize可以将登录用户的role/permission参数传到方法中

进入方法之前做权限验证

使用注解先要开启注解功能 启动类配置：

@EnableGlobalMethodSecurity(prePostEnabled = true)

然后对应controller方法 使用注解 例如：

@PreAuthorize("hasAuthority('admin')")
@GetMapping("insert")
public String insert(){
    return "hello  insert";
}
@PostAuthorize

注解使用不多，在方法执行后进行权限验证，适合验证带有返回值的权限

首先开启注解

然后对应controller方法 使用注解 如：

@PostAuthorize("hasAuthority('admin')")
@GetMapping("delete")
public String delete(){
    System.out.println("hello world");
    return "hello  delete";
}

用户点击退出操作

在配置类中配置：

http.logout().logoutUrl("/logout").logoutSuccessUrl("/login/hello").permitAll();

测试：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.logout().logoutUrl("/logout").logoutSuccessUrl("/login/hello").permitAll();
    // 自定以没有权限访问的页面
    http.exceptionHandling().accessDeniedPage("/unauth.html");
    http.formLogin() // 自定义登录页面
            .loginPage("/login.html") //登录页面设置
            .loginProcessingUrl("/user/login") // 登录访问路径
            .defaultSuccessUrl("/success.html").permitAll() // 登录成功之后跳转路径
            .and().authorizeRequests()
            .antMatchers("/", "/login/hello").permitAll()// 设置路径可以直接访问， 不需要认证
            .antMatchers("/login/index").hasAuthority("admin")// 只有一个主体admin权限 -----------
            //.antMatchers("/login/index").hasAnyAuthority("admin,manage")// 多个主体权限 -----------
            .antMatchers("/login/index").hasRole("sale") // 只有一个角色
            .anyRequest().authenticated()
            .and().csrf().disable();// 关闭csrf防护

}

<!DOCTYPE html>
<html lang="en" xmlns="http://www.w3.org/1999/xhtml"
      xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
login Success
<br>
<a href="/logout">退出</a>
</body>
</html>

自动登录

  1. cookie
  2. security框架提供的技术

请添加图片描述

security实现

  1. 配置类（securityConfig）， 注入数据源 配置数据库连接对象

    @Autowired
private DataSource datasource;

// 配置数据库Bean对象
public PersistentTokenRepository persistentTokenRepository(){
    JdbcTokenRepositoryImpl jdbcTokenRepository = new JdbcTokenRepositoryImpl();
    jdbcTokenRepository.setDataSource(datasource);
    jdbcTokenRepository.setCreateTableOnStartup(true); // 自动建表
    return jdbcTokenRepository;
}

  2. configure(HttpSecurity http) 配置记住我 ，有效时长 ，userDetailService

    @Override
protected void configure(HttpSecurity http) throws Exception {
    http.logout().logoutUrl("/logout").logoutSuccessUrl("/login/hello").permitAll();
    // 自定以没有权限访问的页面
    http.exceptionHandling().accessDeniedPage("/unauth.html");
    http.formLogin() // 自定义登录页面
            .loginPage("/login.html") //登录页面设置
            .loginProcessingUrl("/user/login") // 登录访问路径
            .defaultSuccessUrl("/success.html").permitAll() // 登录成功之后跳转路径
            .and().authorizeRequests()
            .antMatchers("/", "/login/hello").permitAll()// 设置路径可以直接访问， 不需要认证
            .antMatchers("/login/index").hasAuthority("admin")// 只有一个主体admin权限 -----------
            //.antMatchers("/login/index").hasAnyAuthority("admin,manage")// 多个主体权限 -----------
            .antMatchers("/login/index").hasRole("sale") // 只有一个角色
            .anyRequest().authenticated()


      
      
            .and().rememberMe().tokenRepository(persistentTokenRepository()) //记住我
            .tokenValiditySeconds(60) // 设置时长
            .userDetailsService(userDetailsService) // 操作数据库

            
      
      
            .and().csrf().disable();// 关闭csrf防护

}

  3. html

    <pre>
    <form action="/user/login" method="post">
        用户名： <input type="text" name="username"> <!-- name="username" 不允许变-->
        密码： <input type="password" name="password">  <!-- name="password" 不允许变-->
        <input type="checkbox" name="remember-me"> 记住我  <!-- name="remember-me" 不允许变-->
        <input type="submit" value="登录" >
    </form>

</pre>

  4. 愉快的测试吧

CSRF

跨站请求伪造(英文：Cross-site request forgery)，也被称为one-click attack 或者 session riding，通常缩写为CSRF或者XSRF，是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法，跟跨网站脚本（XSS相比）,XSS利用的是用户对指定网站的信任，CSRF利用的是网站对用户网页浏览器的信任。

网站请求攻击，简单的说，是攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作（如 发邮件，发消息，甚至转账或购买行为），由于浏览器曾经认证过，所以被访问的网站会认为是正真的用户操作而去运行，这里用了web中用户身份验证的一个漏洞： 简单的身份验证只能保证请求发自某个用户的浏览器，去不能保证请求本身是用户自哪发的。

​ 从Spring 4.0 开始，默认情况下会启动CSRF保护，以防止攻击应用程序，Spring Security CSRF会针对PATCH、POST、PUT和DELETE方法进行保护

如何配置？

添加依赖

<dependency>
    <groupId>org.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-java8time</artifactId>
    <version>3.0.4.RELEASE</version>
</dependency>

默认是开启的 注释disable

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.logout().logoutUrl("/logout").logoutSuccessUrl("/login/hello").permitAll();
    // 自定以没有权限访问的页面
    http.exceptionHandling().accessDeniedPage("/unauth.html");
    http.formLogin() // 自定义登录页面
            .loginPage("/login.html") //登录页面设置
            .loginProcessingUrl("/user/login") // 登录访问路径
            .defaultSuccessUrl("/success.html").permitAll() // 登录成功之后跳转路径
            .and().authorizeRequests()
            .antMatchers("/", "/login/hello").permitAll()// 设置路径可以直接访问， 不需要认证
            .antMatchers("/login/index").hasAuthority("admin")// 只有一个主体admin权限 -----------
            //.antMatchers("/login/index").hasAnyAuthority("admin,manage")// 多个主体权限 -----------
            .antMatchers("/login/index").hasRole("sale") // 只有一个角色
            .anyRequest().authenticated()


            .and().rememberMe().tokenRepository(persistentTokenRepository()) //记住我
            .tokenValiditySeconds(60) // 设置时长
            .userDetailsService(userDetailsService) // 操作数据库


            //.and().csrf().disable();

}

表单中配置

<form action="/user/login" method="post"> <!--this-->
  <!--加上隐藏项-->
    <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}">
    用户名： <input type="text" name="username"> <!-- name="username" 不允许变-->
    密码： <input type="password" name="password">  <!-- name="password" 不允许变-->
    <input type="checkbox" name="remember-me"> 记住我  <!-- name="remember-me" 不允许变-->
    <input type="submit" value="登录" >
</form>
归去来兮★
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
springsecurity
07-23
Spring Security 是一个强大的且高度可定制的身份验证和访问控制框架，专为Java应用程序设计。它为Web应用和企业级应用提供了全面的安全解决方案，包括登录、权限管理、会话管理、跨站请求伪造（CSRF）防护等核心...
【SpringSecurity教程】防止XSS攻击
terrybg
06-11 1万+
XSS是跨站脚本攻击，攻击者提交可执行的恶意脚本如（html/js/css），来影响网址的使用。演示如下： 模拟XSS攻击： 测试效果如下：如果攻击者的恶意请求，服务器将结果保存到数据库后，下次用户查询的时候，可想而知影响很大。1.Spring设置过滤器或者拦截器2.后端设置编码转义（将标签转义如将转义成）,常见解决方案有Spring的HtmlUtils和Apache Commons3.设置X-XSS-Protection请求头4.前端展示层做处理本文主要描述 Spring设置编码转义，原理是将标签转义如将
玩转SpringBoot安全管理：SpringSecurity之UserDetailService身份认证
Xmumu_的博客
08-03 3666
SpringSecurity身份认证之UserDetailsService
基于数据库自定义UserDetailsService实现Spring security认证
热门推荐
neweastsun的专栏
02-24 4万+
Spring security——基于数据库自定义UserDetailsService实现认证 本文将展示如何在spring security中创建基于数据库自定义UserDetailsService的认证服务。 UserDetailsService UserDetailsService接口用于返回用户相关数据。它有loadUserByUsername()方法，根据username查询用...
15.Spring Boot 使用Spring security
编码语言Codelang
01-03 3万+
玩转Spring Boot 使用Spring security Spring Boot与Spring Security在一起开发非常简单，充分体现了自动装配的强大，Spring Security是Spring Boot官方推荐使用的安全框架。配置简单，功能强大。接下来将说说Spring Boot使用Spring security进行安全控制。
springboot使用过滤器进行XSS防护(结合springsecurity)
徒手千行代码无bug
09-17 4211
将过滤注册进springsecurity的配置方法中 @Override protected void configure(HttpSecurity http) throws Exception { // 一串代码，do other thing // 详见：https://blog.csdn.net/Kevin___________/article/details/106445061 // 安全防护：开启xss过滤 http.addFilterAfter(
SpringSecurity笔记，编程不良人笔记
10-28
SpringSecurity是Java领域中一款强大的安全框架，主要用于Web应用程序的安全管理。它提供了全面的身份验证、授权、会话管理以及安全相关的功能，可以帮助开发者构建安全的Web应用。在本笔记中，我们将深入探讨Spring...
Spring Security in Action
11-22
Spring Security 实践指南 Spring Security 是一个基于 Java 的安全框架，旨在提供身份验证、授权和访问控制等功能。下面是 Spring Security 的主要知识点： 一、身份验证（Authentication） 身份验证是指对用户...
springSecurity
10-14
springSecurity
SpringSecurity.zip
06-08
​ Spring Security：spring家族一员。是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转...
详解spring security安全防护
08-27
主要介绍了详解spring security安全防护，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
SpringBoot +esapi 实现防止xss攻击 实战代码
11-25
SpringBoot +esapi springSecurity 过滤器链集成 实现防止xss攻击 实战代码
Spring应用程序中防止跨站点脚本 (XSS)
allway2的博客
07-24 1160
在反射型或非持久性XSS中，不受信任的用户数据被提交给Web应用程序，该应用程序立即在响应中返回，从而将不信任的内容添加到页面中。这可能允许黑客向您发送一个链接，当您点击该链接时，会导致您的浏览器从您使用的站点检索您的私人数据，然后让您的浏览器将其转发到黑客的服务器。在SpringWeb应用程序中，用户的输入是HTTP请求。为了防止攻击，我们应该检查HTTP请求的内容并删除任何可能被服务器或浏览器执行的内容。在XSS中，攻击者试图在Web应用程序中执行恶意代码。...
Spring Boot 中的 XSS 攻击是什么，原理，如何预防
it_xushixiong的博客
07-06 1877
XSS 攻击是一种利用 Web 应用程序漏洞的攻击方式，攻击者通过在 Web 应用程序中注入恶意脚本，从而获取用户的敏感信息或控制用户的浏览器。存储型 XSS 攻击：攻击者将恶意脚本存储在 Web 应用程序的数据库中，当用户访问包含恶意脚本的页面时，恶意脚本会被执行。反射型 XSS 攻击：攻击者将恶意脚本作为参数传递给 Web 应用程序，当用户访问包含恶意脚本的 URL 时，恶意脚本会被执行。
Spring Security 之防漏洞攻击
分享技术干货和灵感、推荐新书和好玩的项目、分享Java面试题
10-24 1375
了解CSRF攻击的最好方式是通过一个具体的例子。假设您的银行网站提供了一个转账页面，允许从当前的登录用户向另一个账户转账，转账单可能如下：Example 1. 转账表单
Spring Security学习（五）——账号密码的存取（UserDetailService、PasswordEncoder、DaoAuthenticationProvider）
最新发布
sadoshi的专栏
02-15 448
本文是常见Java Web应用中使用Spring Security的核心。一个Web应用管理系统在用户登陆上最核心的问题就是解决两个问题：1、用户提交的账号密码如何与数据库中保存的账号密码匹配上；2、如何保持会话。本文就是解决第一个问题的。
SpringSecurity框架原理浅谈之UserDetailsService
黄先生的博客
02-11 1947
UserDetailsService的作用就是从特定的地方（通常是数据库）加载用户信息.
【Spring Security】Spring Security框架详解
DreamSun的博客
05-11 1159
Spring Security是一款基于Spring框架的认证和授权框架，提供了一系列控制访问和保护应用程序的功能，同时也支持基于角色和权限的访问控制，加密密码，CSRF防范，会话管理等多种功能。Spring Security可以轻松地与其他Spring框架，如Spring Boot和Spring MVC进行集成使用。
Spring Security
09-13
Spring Security是Spring家族中的一个安全管理框架。与另外一个安全框架Shiro相比，Spring Security提供了更丰富的功能，并且拥有更丰富的社区资源。一般来说，中大型的项目更倾向于使用Spring Security作为安全框架...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值