详解 Spring Security：全面保护 Java 应用程序的安全框架

详解 Spring Security：全面保护 Java 应用程序的安全框架

Spring Security 是一个功能强大且高度可定制的框架，用于保护基于 Java 的应用程序。它为身份验证、授权、防止跨站点请求伪造 (CSRF) 等安全需求提供了解决方案。下面将更详细地介绍 Spring Security 的各个方面：

1. 核心概念

1.1 身份验证 (Authentication)

身份验证是确认用户身份的过程。Spring Security 提供了多种身份验证机制，如表单登录、HTTP Basic、OAuth2 等。

  • AuthenticationManager：用于管理认证过程的核心接口，通常通过ProviderManager 实现。
  • Authentication：表示认证请求或认证结果的接口，通常包含用户名和密码等信息。
  • UserDetailsService：用于从数据库或其他源加载用户特定数据的接口，返回 UserDetails 对象。
  • UserDetails：存储用户信息的核心接口，通常包含用户名、密码、是否启用、账户是否过期、凭证是否过期、账户是否锁定等信息。

1.2 授权 (Authorization)

授权是控制用户访问资源的过程。Spring Security 使用基于角色的访问控制 (RBAC) 和权限来实现授权。

  • AccessDecisionManager：用于做出访问决策的核心接口，通常通过 AffirmativeBased 实现。
  • AccessDecisionVoter：投票决定是否允许访问，ROLE、Scope 和 IP 是常见的投票者类型。
  • GrantedAuthority：表示授予用户的权限（例如角色）的接口，通常通过 SimpleGrantedAuthority 实现。

1.3 过滤器链 (Filter Chain)

Spring Security 使用一系列过滤器（Filter Chain）来处理安全相关的操作。每个过滤器在请求到达控制器之前进行特定的安全检查。

  • SecurityFilterChain：包含一个或多个过滤器的链，按顺序处理 HTTP 请求。

2. 核心组件

2.1 SecurityContext

用于保存当前已认证用户的安全上下文信息，通常通过 SecurityContextHolder 来访问。

  • SecurityContextHolder：持有当前应用程序的安全上下文信息，允许获取当前用户的身份信息。

    SecurityContext context = SecurityContextHolder.getContext();
Authentication authentication = context.getAuthentication();
String username = authentication.getName();

2.2 HttpSecurity

用于配置基于 HTTP 的安全保护，包括设置哪些 URL 需要保护、使用哪种认证方式等。

http.authorizeRequests().antMatchers("/public/**").permitAll().anyRequest().authenticated().and().formLogin().loginPage("/login").permitAll().and().logout().permitAll();

2.3 WebSecurityConfigurerAdapter

一个配置类，用于自定义 Spring Security 的配置，通常通过重写 configure 方法来设置各种安全选项。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {@Overrideprotected void configure(HttpSecurity http) throws Exception {http.authorizeRequests().antMatchers("/public/**").permitAll().anyRequest().authenticated().and().formLogin().loginPage("/login").permitAll().and().logout().permitAll();}@Overrideprotected void configure(AuthenticationManagerBuilder auth) throws Exception {auth.inMemoryAuthentication().withUser("user").password("{noop}password").roles("USER").and().withUser("admin").password("{noop}admin").roles("ADMIN");}
}

3. 认证机制

3.1 基于表单的认证 (Form-Based Authentication)

用户通过登录表单提交用户名和密码进行认证。

http.formLogin().loginPage("/login").loginProcessingUrl("/perform_login").defaultSuccessUrl("/homepage.html", true).failureUrl("/login.html?error=true").and().logout().logoutUrl("/perform_logout").deleteCookies("JSESSIONID");

3.2 HTTP Basic 认证

使用 HTTP Basic 头信息进行认证。

http.authorizeRequests().anyRequest().authenticated().and().httpBasic();

3.3 Token-Based 认证 (如 JWT)

使用令牌（如 JWT）在客户端和服务器端之间传递身份认证信息。

public class JWTAuthenticationFilter extends UsernamePasswordAuthenticationFilter {private AuthenticationManager authenticationManager;public JWTAuthenticationFilter(AuthenticationManager authenticationManager) {this.authenticationManager = authenticationManager;}@Overridepublic Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {// 从请求中提取用户名和密码}@Overrideprotected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult) throws IOException, ServletException {// 生成 JWT 并在响应中返回}
}

4. 授权机制

4.1 基于 URL 的授权

通过配置哪些 URL 需要哪些角色或权限来进行授权。

http.authorizeRequests().antMatchers("/admin/**").hasRole("ADMIN").antMatchers("/user/**").hasAnyRole("USER", "ADMIN").anyRequest().authenticated();

4.2 基于方法的授权

通过注解方式，在方法级别上进行授权。

@PreAuthorize("hasRole('ROLE_USER')")
public void someMethod() {// Method implementation
}

5. 防护措施

5.1 CSRF (Cross-Site Request Forgery)

Spring Security 默认启用 CSRF 防护，保护应用免受 CSRF 攻击。

http.csrf().disable();  // 禁用 CSRF 防护（不推荐）

5.2 CORS (Cross-Origin Resource Sharing)

配置跨域资源共享策略，允许或限制跨域请求。

http.cors().configurationSource(corsConfigurationSource());@Bean
public CorsConfigurationSource corsConfigurationSource() {CorsConfiguration configuration = new CorsConfiguration();configuration.setAllowedOrigins(Arrays.asList("http://localhost:3000"));configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE"));UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();source.registerCorsConfiguration("/**", configuration);return source;
}

6. 集成 OAuth2

Spring Security 提供了对 OAuth2 和 OpenID Connect 的支持，可以轻松集成第三方身份提供者（如 Google、Facebook）。

@EnableWebSecurity
public class OAuth2LoginSecurityConfig extends WebSecurityConfigurerAdapter {@Overrideprotected void configure(HttpSecurity http) throws Exception {http.authorizeRequests(a -> a.anyRequest().authenticated()).oauth2Login();}
}

7. 自定义扩展

7.1 自定义 UserDetailsService

通过实现 UserDetailsService 接口来自定义用户数据的加载逻辑。

@Service
public class CustomUserDetailsService implements UserDetailsService {@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {// 自定义用户加载逻辑return new User(username, password, authorities);}
}

7.2 自定义认证过滤器

通过扩展 UsernamePasswordAuthenticationFilter 来实现自定义的认证逻辑。

public class CustomAuthenticationFilter extends UsernamePasswordAuthenticationFilter {@Overridepublic Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) {// 自定义认证逻辑}
}

8. 配置示例

以下是一个完整的 Spring Security 配置示例，结合了以上讲述的各个方面：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {@Autowiredprivate CustomUserDetailsService userDetailsService;@Overrideprotected void configure(HttpSecurity http) throws Exception {http.authorizeRequests().antMatchers("/public/**").permitAll().antMatchers("/admin/**").hasRole("ADMIN").anyRequest().authenticated().and().formLogin().loginPage("/login").loginProcessingUrl("/perform_login").defaultSuccessUrl("/homepage.html", true).failureUrl("/login.html?error=true").permitAll().and().logout().logoutUrl("/perform_logout").deleteCookies("JSESSIONID").permitAll().and().csrf().disable().cors().configurationSource(corsConfigurationSource());}@Overrideprotected void configure(AuthenticationManagerBuilder auth) throws Exception {auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());}@Beanpublic PasswordEncoder passwordEncoder() {return new BCryptPasswordEncoder();}@Beanpublic CorsConfigurationSource corsConfigurationSource() {CorsConfiguration configuration = new CorsConfiguration();configuration.setAllowedOrigins(Arrays.asList("http://localhost:3000"));configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE"));UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();source.registerCorsConfiguration("/**", configuration);return source;}
}

总结

Spring Security 提供了全面的安全功能，几乎可以满足所有 Java 应用程序的安全需求。通过配置和自定义，可以灵活地实现身份验证和授权逻辑，并保护应用免受各种安全威胁。掌握 Spring Security 的核心概念和组件，有助于开发人员构建安全可靠的应用程序。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/bicheng/26810.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

WEP前端：深入解析其含义、特性及在Web开发中的应用

WEP前端：深入解析其含义、特性及在Web开发中的应用

WEP前端：深入解析其含义、特性及在Web开发中的应用 在快速发展的互联网时代，前端技术日新月异，各种新的概念和术语层出不穷。其中，WEP前端作为近年来备受关注的一个领域，引发了广泛的讨论和研究。那么，WEP…
阅读更多...
VMware安装ubuntu22.4虚拟机超详细图文教程

VMware安装ubuntu22.4虚拟机超详细图文教程

一 、下载镜像 下载地址：Index of /ubuntu-releases/22.04.4/ | 清华大学开源软件镜像站 | Tsinghua Open Source Mirror 二、创建虚拟机 打开VMware点击左上角文件，创建新的虚拟机，打开后如下图： 下一步，镜像文件就是…
阅读更多...
超市陈列艺术：不仅仅是货品摆放，更是营销策略的体现

超市陈列艺术：不仅仅是货品摆放，更是营销策略的体现

品类管理在门店落地的最直观表现就是单品的空间陈列管理，通过陈列细节的差异体现出门店的商品定位与策略。此文分析入木三分，值得学习。 在商品陈列的空间管理领域，不仅要考虑整体的空间陈列，也要对每个商品的空间陈列位置&#…
阅读更多...
做了2年前端，盘点前端技术栈！大佬轻喷~

做了2年前端，盘点前端技术栈！大佬轻喷~

前言 自己写了快两年前端，但是大致总结一下哈哈哈哈我觉得这个话题蛮有意思的，可以看看大家的技术广度，可以进行分享和学习以及讨论所以这里说一下我对我的前端技术，做一下盘点和总结因为我的开发年限有限，所以我觉得…
阅读更多...
焦化行业排放平台简介

焦化行业排放平台简介

在当今社会，环保事业日益受到人们的关注。焦化行业作为重要的工业领域之一，其排放问题一直是环保工作的重点。为了有效控制焦化行业的排放，实施焦化行业排放平台成为了必不可少的措施。朗观视觉小编将详细探讨焦化行业排放平台的实施范围&…
阅读更多...
Android11 后台启动Activity

Android11 后台启动Activity

在 Android 10 (API 29) 及更高版本（包括 Android 11），系统对后台启动 Activity 施加了严格的限制。默认情况下，应用程序在后台无法启动 Activity，以提高用户体验并减少不必要的干扰。以下为解决方法。 From 7d554af386150edec1cd68f6eaf700538af4e373 Mon Sep 17 00:00:0…
阅读更多...
LeetCode 596, 13, 2

LeetCode 596, 13, 2

目录 596. 超过5名学生的课题目链接表要求知识点思路代码 13. 罗马数字转整数题目链接标签罗马数字与阿拉伯数字映射规则 思路代码 2. 两数相加题目链接标签思路代码使用被赋值为结果链表头部的指针哨兵节点指向结果链表头部 596. 超过5名学生的课 题目链接 596. 超过5名学生…
阅读更多...
【复旦邱锡鹏教授《神经网络与深度学习公开课》笔记】线性分类模型损失函数对比

【复旦邱锡鹏教授《神经网络与深度学习公开课》笔记】线性分类模型损失函数对比

本节均以二分类问题为例进行展开&#xff0c;统一定义类别标签 y ∈ { 1 , − 1 } y\in\{1,-1\} y∈{1,−1}&#xff0c;则分类正确时 y f ( x ; w ) > 0 yf(x;w)>0 yf(x;w)>0&#xff0c;且值越大越正确&#xff1b;错误时 y f ( x ; w ) < 0 yf(x;w)<0 yf(x;…
阅读更多...
ubtun虚拟机安装

ubtun虚拟机安装

选择镜像后启动 选择第一个回车 加载完成后 &#xff0c;进入Ubuntu安装界面&#xff0c;安装语言选择English&#xff0c;完成后按一下回车&#xff1a; 此时弹出安装器可更新提示&#xff0c;下方选项选择第二个Continue without updating&#xff08;不更新&#xff0c;继续…
阅读更多...
升级和维护老旧LabVIEW程序

升级和维护老旧LabVIEW程序

在升级老旧LabVIEW程序至64位环境时&#xff0c;需要解决兼容性、性能和稳定性等问题。本文从软件升级、硬件兼容性、程序优化、故障修复等多个角度详细分析。具体包括64位迁移注意事项、修复页面跳转崩溃、解决关闭程序后残留进程的问题&#xff0c;确保程序在新环境中的平稳运…
阅读更多...
k8s中的pod域名解析失败定位案例

k8s中的pod域名解析失败定位案例

问题描述 我在k8s中启动了一个Host网络模式的pod&#xff0c;这个pod的域名解析失败了。 定位步骤 敲kubectl exec -it [pod_name] -- bash进入pod后台&#xff0c;查看/etc/resolv.conf&#xff0c;发现nameserver配的有问题。这里我预期的nameserver应该使用宿主机的&…
阅读更多...
亚马逊跟卖选品不再迷茫，适合跟卖卖家得一款选品软件工具！

亚马逊跟卖选品不再迷茫，适合跟卖卖家得一款选品软件工具！

对于刚开始做跟卖的卖家而言&#xff0c;刚开始最头疼的应该就是选品了吧&#xff0c;不知道跟卖什么产品&#xff0c;不是知道怎么有效的选择跟卖产品&#xff0c;所以很多卖家都会借助&#xff0c;选品软件来进行选品&#xff0c;这样不仅能提高选品的效率&#xff0c;还能帮…
阅读更多...
对于机器学习的回答

对于机器学习的回答

一、什么是机器学习 机器学习&#xff08;Machine Learning&#xff09;是人工智能&#xff08;AI&#xff09;的一个子领域&#xff0c;它使计算机系统能够从数据中自动学习和改进&#xff0c;而无需明确编程。机器学习利用统计学和计算技术&#xff0c;构建能够识别数据中的模…
阅读更多...
人工智能的社会应用：深刻变革的新浪潮

人工智能的社会应用：深刻变革的新浪潮

人工智能的社会应用&#xff08;语言文本方面&#xff09; 人工智能在社会应用中的广泛运用体现在多个领域&#xff0c;特别是在语音和文本处理方面。以下是这些技术的一些扩展&#xff1a; 1. 文本翻译&#xff1a; 谷歌翻译&#xff1a;利用深度学习模型&#xff0c;支持100多…
阅读更多...
pom学习笔记：kimi的自动化操作

pom学习笔记：kimi的自动化操作

1.先看结构&#xff1a; 声明&#xff1a;我是初学&#xff0c;可能有不合理的地方。 2.Base层。 我是把原来一个kimi的自动问答的代码改过来。 分析&#xff1a;其实我是新手&#xff0c;因为我用的浏览器是固定的&#xff0c;也没有打算和别人用。所以浏览器层面年的全部写…
阅读更多...
App UI 风格展现非凡创意

App UI 风格展现非凡创意

App UI 风格展现非凡创意
阅读更多...
rust-强化练习

rust-强化练习

钓鱼不打窝&#xff0c;钓的也不多 语言只靠看不行&#xff0c;还得练&#xff0c;下面是AI生成的一些题目&#xff0c;后续直接肝LeeCode,一举2得 1、猜数字 描述&#xff1a;创建一个简单的猜数字游戏&#xff0c;程序会随机生成一个数字&#xff0c;玩家需要猜出这个数字是…
阅读更多...
实验题目*：太阳风暴

实验题目*：太阳风暴

本人承担实验内容&#xff08;以条目形式列出&#xff09;*&#xff1a; 输入处理和初始化 任务描述&#xff1a;负责处理输入数据并初始化相关变量和数组 参与本实验自我评价&#xff08;包括自己完成状况、在实验中的工作等&#xff09;*&#xff1a; 完成状况&#xff1a…
阅读更多...
首件检验为什么这么重要？

首件检验为什么这么重要？

首件检验是制造业生产过程中的一个重要环节&#xff0c;通常是在每个班次刚开始时或生产过程中的条件发生改变后&#xff08;如人员变动、材料更换、设备调整等&#xff09;&#xff0c;对加工的第一或前几件产品进行的专门检验。尤其在汽车零部件生产企业、电子制造企业广泛采…
阅读更多...
将/root/anaconda3/bin目录添加到环境变量里面【Linux安装anaconda环境无法使用conda命令解决方法】

将/root/anaconda3/bin目录添加到环境变量里面【Linux安装anaconda环境无法使用conda命令解决方法】

将 /root/anaconda3/bin 目录添加到环境变量里&#xff0c;需要编辑 ~/.bashrc 文件或 ~/.bash_profile 文件&#xff0c;并添加相应的 PATH 设置。以下是具体步骤&#xff1a; 编辑 ~/.bashrc 文件 使用文本编辑器打开 ~/.bashrc 文件&#xff1a; nano ~/.bashrc添加 Anaco…
阅读更多...
最新文章

Copyright @ 2022~2023