详解 Spring Security：全面保护 Java 应用程序的安全框架

news2025/7/9 3:37:53

详解 Spring Security：全面保护 Java 应用程序的安全框架

Spring Security 是一个功能强大且高度可定制的框架，用于保护基于 Java 的应用程序。它为身份验证、授权、防止跨站点请求伪造 (CSRF) 等安全需求提供了解决方案。下面将更详细地介绍 Spring Security 的各个方面：
CSDN开发云

1. 核心概念

1.1 身份验证 (Authentication)

身份验证是确认用户身份的过程。Spring Security 提供了多种身份验证机制，如表单登录、HTTP Basic、OAuth2 等。

  • AuthenticationManager：用于管理认证过程的核心接口，通常通过ProviderManager 实现。
  • Authentication：表示认证请求或认证结果的接口，通常包含用户名和密码等信息。
  • UserDetailsService：用于从数据库或其他源加载用户特定数据的接口，返回 UserDetails 对象。
  • UserDetails：存储用户信息的核心接口，通常包含用户名、密码、是否启用、账户是否过期、凭证是否过期、账户是否锁定等信息。

1.2 授权 (Authorization)

授权是控制用户访问资源的过程。Spring Security 使用基于角色的访问控制 (RBAC) 和权限来实现授权。

  • AccessDecisionManager：用于做出访问决策的核心接口，通常通过 AffirmativeBased 实现。
  • AccessDecisionVoter：投票决定是否允许访问，ROLE、Scope 和 IP 是常见的投票者类型。
  • GrantedAuthority：表示授予用户的权限（例如角色）的接口，通常通过 SimpleGrantedAuthority 实现。

1.3 过滤器链 (Filter Chain)

Spring Security 使用一系列过滤器（Filter Chain）来处理安全相关的操作。每个过滤器在请求到达控制器之前进行特定的安全检查。

  • SecurityFilterChain：包含一个或多个过滤器的链，按顺序处理 HTTP 请求。

2. 核心组件

2.1 SecurityContext

用于保存当前已认证用户的安全上下文信息，通常通过 SecurityContextHolder 来访问。

  • SecurityContextHolder：持有当前应用程序的安全上下文信息，允许获取当前用户的身份信息。

    SecurityContext context = SecurityContextHolder.getContext();
Authentication authentication = context.getAuthentication();
String username = authentication.getName();

2.2 HttpSecurity

用于配置基于 HTTP 的安全保护，包括设置哪些 URL 需要保护、使用哪种认证方式等。

http
    .authorizeRequests()
        .antMatchers("/public/**").permitAll()
        .anyRequest().authenticated()
    .and()
    .formLogin()
        .loginPage("/login")
        .permitAll()
    .and()
    .logout()
        .permitAll();

2.3 WebSecurityConfigurerAdapter

一个配置类，用于自定义 Spring Security 的配置，通常通过重写 configure 方法来设置各种安全选项。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
            .and()
            .logout()
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password("{noop}password").roles("USER")
            .and()
                .withUser("admin").password("{noop}admin").roles("ADMIN");
    }
}

3. 认证机制

3.1 基于表单的认证 (Form-Based Authentication)

用户通过登录表单提交用户名和密码进行认证。

http
    .formLogin()
        .loginPage("/login")
        .loginProcessingUrl("/perform_login")
        .defaultSuccessUrl("/homepage.html", true)
        .failureUrl("/login.html?error=true")
        .and()
    .logout()
        .logoutUrl("/perform_logout")
        .deleteCookies("JSESSIONID");

3.2 HTTP Basic 认证

使用 HTTP Basic 头信息进行认证。

http
    .authorizeRequests()
        .anyRequest().authenticated()
    .and()
    .httpBasic();

3.3 Token-Based 认证 (如 JWT)

使用令牌（如 JWT）在客户端和服务器端之间传递身份认证信息。

public class JWTAuthenticationFilter extends UsernamePasswordAuthenticationFilter {

    private AuthenticationManager authenticationManager;

    public JWTAuthenticationFilter(AuthenticationManager authenticationManager) {
        this.authenticationManager = authenticationManager;
    }

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        // 从请求中提取用户名和密码
    }

    @Override
    protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult) throws IOException, ServletException {
        // 生成 JWT 并在响应中返回
    }
}

4. 授权机制

4.1 基于 URL 的授权

通过配置哪些 URL 需要哪些角色或权限来进行授权。

http
    .authorizeRequests()
    .antMatchers("/admin/**").hasRole("ADMIN")
    .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
    .anyRequest().authenticated();

4.2 基于方法的授权

通过注解方式，在方法级别上进行授权。

@PreAuthorize("hasRole('ROLE_USER')")
public void someMethod() {
    // Method implementation
}

5. 防护措施

5.1 CSRF (Cross-Site Request Forgery)

Spring Security 默认启用 CSRF 防护，保护应用免受 CSRF 攻击。

http
    .csrf().disable();  // 禁用 CSRF 防护（不推荐）

5.2 CORS (Cross-Origin Resource Sharing)

配置跨域资源共享策略，允许或限制跨域请求。

http
    .cors().configurationSource(corsConfigurationSource());

@Bean
public CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.setAllowedOrigins(Arrays.asList("http://localhost:3000"));
    configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE"));
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}

6. 集成 OAuth2

Spring Security 提供了对 OAuth2 和 OpenID Connect 的支持，可以轻松集成第三方身份提供者（如 Google、Facebook）。

@EnableWebSecurity
public class OAuth2LoginSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests(a -> a
                .anyRequest().authenticated()
            )
            .oauth2Login();
    }
}

7. 自定义扩展

7.1 自定义 UserDetailsService

通过实现 UserDetailsService 接口来自定义用户数据的加载逻辑。

@Service
public class CustomUserDetailsService implements UserDetailsService {

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 自定义用户加载逻辑
        return new User(username, password, authorities);
    }
}

7.2 自定义认证过滤器

通过扩展 UsernamePasswordAuthenticationFilter 来实现自定义的认证逻辑。

public class CustomAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) {
        // 自定义认证逻辑
    }
}

8. 配置示例

以下是一个完整的 Spring Security 配置示例，结合了以上讲述的各个方面：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/public/**").permitAll()
                .antMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login")
                .loginProcessingUrl("/perform_login")
                .defaultSuccessUrl("/homepage.html", true)
                .failureUrl("/login.html?error=true")
                .permitAll()
            .and()
            .logout()
                .logoutUrl("/perform_logout")
                .deleteCookies("JSESSIONID")
                .permitAll()
            .and()
            .csrf().disable()
            .cors().configurationSource(corsConfigurationSource());
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.setAllowedOrigins(Arrays.asList("http://localhost:3000"));
        configuration.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE"));
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

总结

Spring Security 提供了全面的安全功能，几乎可以满足所有 Java 应用程序的安全需求。通过配置和自定义，可以灵活地实现身份验证和授权逻辑，并保护应用免受各种安全威胁。掌握 Spring Security 的核心概念和组件，有助于开发人员构建安全可靠的应用程序。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1822090.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

盲盒App开发时有哪些技术框架可以借鉴

盲盒App开发时有哪些技术框架可以借鉴

在开发盲盒App时，技术框架的选择对于应用的性能、稳定性和用户体验都至关重要。以下是几个可以借鉴的技术框架，它们在不同方面提供了优势，并且结合了参考文章中的相关信息： 前端技术框架 微信小程序框架： 优点&#…
阅读更多...
关于2024年第一批计算机程序设计员（Python）四级、三级职业技能等级证书认证考试的通知

关于2024年第一批计算机程序设计员（Python）四级、三级职业技能等级证书认证考试的通知

计算机程序设计员（Python）详细介绍 报名详细信息： 报名截止时间：2024年6月05日 ~ 2024年6月18日 准考证下载时间：2023年6月24日 ~ 6月28日 考试时间：2024年6月29日 四级：08:30~12:30&#…
阅读更多...
2024年应用数学与建模国际学术会议 （ICAMM 2024）

2024年应用数学与建模国际学术会议 （ICAMM 2024）

2024年应用数学与建模国际学术会议 （ICAMM 2024） 2024 International Conference on Applied Mathematics and Modeling 【重要信息】 大会地点：上海 大会官网：http://www.icicamm.com 投稿邮箱：icicammsub-conf.com 【…
阅读更多...
Java-01-基础篇 Java集合-01-Map

Java-01-基础篇 Java集合-01-Map

一&#xff0c;Map Map 是一个键值对的集合&#xff0c;它取代了 java.util.Dictionary 字典类&#xff1b;这个字典类是在 JDK1.0 提供的&#xff0c;Map集合是在 JDK1.2 提供的。 1.1 Map 接口分析 package java.util; /*** param <K> 键的类型* param <V> 值的…
阅读更多...
『大模型笔记』主成分分析（PCA）解释：简化机器学习中的复杂数据！

『大模型笔记』主成分分析（PCA）解释：简化机器学习中的复杂数据！

主成分分析（PCA）解释：简化机器学习中的复杂数据 文章目录 一. 主成分分析（PCA）解释：简化机器学习中的复杂数据！二. 参考文献一. 主成分分析（PCA）解释：简化机器学习中的复杂数据！ 主成分分析（Principal Component Analysis，简称PCA）通过 将大型数据集中的维度减少…
阅读更多...
EC20通信模块升级失败 Quectel QDLoader 9008

EC20通信模块升级失败 Quectel QDLoader 9008

这里写自定义目录标题 usb驱动下载固件和升级软件下载开始升级上述过程升级失败&#xff0c;出现Quectel QDLoader 9008寻找解决方案&#xff0c;事了QPS t不行&#xff0c;最终使用这个Quectel_Customer_FW_Download_Tool软件解决下载链接&#xff1a; 所有下载驱动、固件、软…
阅读更多...
基于梯度下降的多元线性回归原理

基于梯度下降的多元线性回归原理

为了展示多元线性回归的迭代过程&#xff0c;我们可以使用梯度下降算法手动实现多元线性回归。梯度下降是一种迭代优化算法&#xff0c;用于最小化损失函数。 我们将以下步骤进行手动实现&#xff1a; 初始化回归系数。计算预测值和损失函数。计算梯度。更新回归系数。重复步…
阅读更多...
机器学习python实践——数据“相关性“的一些补充性个人思考

机器学习python实践——数据“相关性“的一些补充性个人思考

在上一篇“数据白化”的文章中&#xff0c;说到了数据“相关性”的概念&#xff0c;但是在统计学中&#xff0c;不仅存在“相关性”还存在“独立性”等等&#xff0c;所以&#xff0c;本文主要对数据“相关性”进行一些补充。当然&#xff0c;如果这篇文章还能入得了各位“看官…
阅读更多...
MPT（merkle Patricia trie ）及理解solidity里的storage

MPT（merkle Patricia trie ）及理解solidity里的storage

what&#xff1f; MPT树是一种数据结构&#xff0c;用于在以太坊区块链中高效地存储和检索账户状态、交易历史和其他重要数据。MPT树的设计旨在结合Merkle树和Patricia树的优点&#xff0c;以提供高效的数据存储和验证 MPT树由四种类型的节点组成&#xff1a; **扩展节点&…
阅读更多...
快速理解 Node.js 版本差异：3 分钟指南

快速理解 Node.js 版本差异：3 分钟指南

Node.js 是一个广泛使用的 JavaScript 运行时环境&#xff0c;允许开发者在服务器端运行 JavaScript 代码。随着技术的发展&#xff0c;Node.js 不断推出新版本&#xff0c;引入新特性和改进。了解不同版本之间的差异对于开发者来说至关重要。以下是一个快速指南&#xff0c;帮…
阅读更多...
轻量级的数据交换格式JSON (JavaScript Object Notation)介绍

轻量级的数据交换格式JSON (JavaScript Object Notation)介绍

什么是JSON&#xff1f; JSON (JavaScript Object Notation) 是一种轻量级的数据交换格式&#xff0c;它属于JavaScript的一个子集&#xff0c;采用完全独立于编程语言的文本格式来存储和表示数据。简洁和清晰的层次结构使得 JSON 成为理想的数据交换语言。 JSON具有易读性&…
阅读更多...
Ubuntu Server 20.04挂载磁盘

Ubuntu Server 20.04挂载磁盘

先查看磁盘信息&#xff1a; sudo fdisk -l然后提供NTFS文件系统支持&#xff1a; sudo mkfs.ntfs /dec/sda -F这个过程非常久… 处理完如上图。&#xff08;ps. 这个 Have a nice day. 好浪漫~&#xff09; 接着挂载磁盘&#xff1a; sudo mount /dev/sda ~/device设置开机…
阅读更多...
安装golang

安装golang

官网:All releases - The Go Programming Language (google.cn) 下载对应的版本安装即可
阅读更多...
MongoDB——写入耗时

MongoDB——写入耗时

mongodb写入10万条数据的耗时差不多是1s import time import pymongo from pymongo import MongoClient# 连接到MongoDB client MongoClient(mongodb://localhost:27017/) db client[test_db] collection db[test_collection]# 生成10万条数据 documents [{"name&quo…
阅读更多...
免费分享：1901-2020全球气候数据集（附下载办法）

免费分享：1901-2020全球气候数据集（附下载办法）

长期的全球其后数据不仅能够揭示长期的气候趋势&#xff0c;还为农业、水资源管理、公共卫生等多个领域的决策提供科学依据&#xff0c;对于推动可持续发展具有重要意义。 数据集简介 CRU TS&#xff08;Climatic Research Unit gridded Time Series&#xff09;数据集&#…
阅读更多...
【面经总结】Java基础 - SPI

【面经总结】Java基础 - SPI

SPI 什么是 SPI&#xff1f; 提供给服务提供者去使用的一个接口 SPI 的优点 低耦合配置灵活多态性 SPI 的应用场景 JDBCSLF4J 日志
阅读更多...
GenIcam标准（二）—— GenApi 模块 – 配置相机

GenIcam标准（二）—— GenApi 模块 – 配置相机

系列文章目录 GenICam标准&#xff08;一&#xff09;—— 概述 GenIcam标准&#xff08;二&#xff09;—— GenApi 模块 – 配置相机 文章目录 系列文章目录1、简介2、照相机描述文件的基本结构3、 节点、接口和抽象特征参考 1、简介 GenApi 模块解决如何去配置相机的问题。主…
阅读更多...
论文发表CN期刊《高考》是什么级别的刊物？

论文发表CN期刊《高考》是什么级别的刊物？

论文发表CN期刊《高考》是什么级别的刊物&#xff1f; 《高考》是由吉林省长春出版社主管并主办的省级教育类期刊&#xff0c;期刊以科教兴国战略为服务宗旨&#xff0c;专门反映和探索国内外教育教学和科研实践的最新成果。该期刊致力于为广大教育工作者提供一个高质量的学术…
阅读更多...
UDP的组播发送与接收C语言测试和nc接收组播测试

UDP的组播发送与接收C语言测试和nc接收组播测试

组播这个东西&#xff0c;很多年前用过一次。本身的原理不复杂&#xff0c;未知的是使用的环境&#xff0c;受使用环境的影响有多大&#xff0c;还是那句废话&#xff0c;具体问题具体分析。 发送端代码multicast.c #include <stdio.h> #include <stdlib.h> #…
阅读更多...
大泽动力TO32000ET-Z 电动30千瓦柴油发电机规格型号参数

大泽动力TO32000ET-Z 电动30千瓦柴油发电机规格型号参数

大泽动力30KW柴油发电机概述 大泽动力30KW柴油发电机是一种具有稳定输出功率的发电设备&#xff0c;主要用于提供电力支持。其设计结合了国外先进的低噪音发电机和发动机技术&#xff0c;使得机组在运行过程中噪音低&#xff0c;结构紧凑&#xff0c;占用空间小。以下是关于30…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023