セッションとCSRFを無効にし、SessionCreationPolicy.StatelessおよびCSRF（）。disable（）を使用して、休憩に優(yōu)しいセキュリティを?qū)g現(xiàn)します。 2。JWTを使用して、ステートレス認(rèn)証に、ユーザーの役割と有効期限を含むトークンを生成および検証します。 3. JWTAuthenticationFilterを作成して、リクエストを傍受し、認(rèn)証ヘッダーでベアラートークンを解析し、確認(rèn)後に認(rèn)証情報(bào)をSecurityContExtholderに保存します。 4. @preauthorize（ "hasrole（ 'admin'）"）およびその他の注釈を使用して、ロールベースのアクセス制御を?qū)g裝し、@enableglobalmethodsecurity（prepostenabled = true）を介してメソッドレベルのセキュリティを有効にします。 5.ログインインターフェイス/ログインを提供し、AuthenticationManagerによる認(rèn)証を成功させた後、JWTトークンを返します。必ずHTTPSを使用し、キーの保管を保護(hù)し、トークンの保管を避け、署名を厳密に検証し、APIセキュリティを確保するために合理的な有効期限ポリシーを設(shè)定してください。

JavaでSpring Securityで休憩APIを確保することは、単なるベストプラクティスではなく、必要です。セッションCookieに依存している従來のWebアプリとは異なり、REST APIはステートレスであるため、セキュリティを異なる方法で処理する必要があります。 Spring SecurityとJavaを使用して正しく行う方法は次のとおりです（XMLまたはPure Java Config Routeを使用している場合はSpring Bootがありませんが、最新のJava構(gòu)成に焦點(diǎn)を當(dāng)てます）。

1.レストに優(yōu)しい方法で春のセキュリティを有効にします

Java構(gòu)成でSpring Securityをセットアップすることから始めます。レストAPIは通常、セッションではなくトークンベースの認(rèn)証（JWTなど）を使用するため、セッションの作成とCSRF保護(hù)を無効にする必要があります。

 @構(gòu)成
@enablewebsecurity
Public Class SecurityConfig {

    @bean
    Public SecurityFilterChain FilterChain（httpsecurity http）スロー例外{
        http
            .csrf（）。disable（）//ステートレスAPIのcsrfなし
            .sessionManagement（）
                .sessioncreationPolicy（SessionCreationPolicy.Stateless）//常にステートレス
            。そして（）
            .authorizehttprequests（authz-> authz
                .RequestMatchers（ "/api/public/**"）。pimitall（）
                .requestMatchers（ "/api/admin/**"）。hasrole（ "admin"）
                .anyrequest（）。authentipted（）
            ））
            .httpbasic（）。disable（）//休憩には理想的ではありません。トークンを使用します
            .addfilterbefore（jwtfilter（）、usernamepasswordauthenticationfilter.class）;

        return http.build（）;
    }

    @bean
    public jwtauthenticationfilter jwtfilter（）{
        new JwtauthenticationFilter（）を返します。
    }
}

？キーポイント：

• STATELESSセッションでは、SpringがJSESSIONID Cookieを作成するのを防ぎます。
• セッション狀態(tài)に依存しているため、 CSRFを無効にします。
• requestMatchers()を使用して、パブリックエンドポイントとセキュリティでのエンドポイントを定義します。

2。無國籍認(rèn)証にはJWTを使用します

JWT（JSON Webトークン）は、REST APIに最適です。クライアントは一度ログインし、トークンを取得し、その後のリクエストでAuthorization: Bearer <token>ヘッダーに送信します。

JWT（ユーティリティの例）を生成する

パブリッククラスjwtutil {
    private string secret = "yoursupersecretkeythatisatleast256bitslong";

    public string generateToken（String username、collection <？拡張grantedauthority>當(dāng)局）{
        jwts.builder（）を返します
            .setsubject（username）
            .claim（ "當(dāng)局"、當(dāng)局.stream（）
                .map（grantedauthority :: getauthority）
                .collect（collectors.tolist（）））
            .setissuedat（new Date（））
            .setExpiration（new Date（System.CurrentTimemillis（）86400000）// 24H
            .signwith（signaturealgorithm.hs256、secret）
            。コンパクト（）;
    }

    public boolean istokenvalid（string token、string username）{
        return getUsernamefromToken（token）.equals（username）&&！istokenexpired（token）;
    }

    public string getUsernamefromtoken（string token）{
        return getClaims（token）.getSubject（）;
    }

    プライベートクレームGetClaims（String Token）{
        jwts.parser（）を返します
            .setingkey（秘密）
            .parsecalimsjws（トークン）
            .getBody（）;
    }

    private boolean istokenexpired（string token）{
        return getClaims（token）.getExpiration（）。前（new date（））;
    }
}

secret秘密を安全に保ちます - 生産中のハードコードではありません。環(huán)境変數(shù)または構(gòu)成サーバーを使用します。

3.カスタムJWT認(rèn)証フィルター

著信要求を傍受し、 AuthorizationヘッダーからJWTを抽出し、検証し、Spring Securityのコンテキストで認(rèn)証を設(shè)定するためのフィルターが必要です。

 Public Class JWTAuthenticationFilterは、woneperRequestFilter {

    @Autowired
    Private Jwtutil Jwtutil;

    @Autowired
    Private userDetailsService userDetailsService;

    @オーバーライド
    保護(hù)されたvoid dofilterinternal（httpservletrequestリクエスト、
                                    httpservletResponse応答、
                                    FilterChain FilterChain）ServleTexception、ioException {

        string token = extractoken（request）;

        if（token！= null && jwtutil.validatetoken（token））{
            文字列username = jwtutil.getusernamefromtoken（token）;
            userdetails userdetails = userdetailsservice.loduserbyusername（username）;

            usernamepasswordwordauthenticationToken認(rèn)証=
                new usernamepasswordauthenticationtoken（userdetails、null、userdetails.getauthorities（））;
            Authentication.setDetails（new WebAuthenticationDetailSSource（）。buildDetails（request））;

            SecurityContextholder.getContext（）。setAuthentication（Authentication）;
        }

        filterchain.dofilter（リクエスト、応答）;
    }

    プライベートストリングextractoken（httpservletrequestリクエスト）{
        string bearertoken = request.getheader（ "authorization"）;
        if（bearertoken！= null && bearertoken.startswith（ "Bearer"））{
            return bearertoken.substring（7）;
        }
        nullを返します。
    }
}

spring Spring Checks Authenticationの前にこのフィルターは実行されます。トークンが有効な場合、 Authenticationオブジェクトを設(shè)定して@PreAuthorize 、 hasRole()などが予想どおりに機(jī)能します。

4.ロールベースのアクセスを備えたセキュアエンドポイント

認(rèn)証が整ったら、メソッドレベルのセキュリティを使用してエンドポイントを保護(hù)します。

 @RestController
@RequestMapping（ "/api/admin"）
@preauthorize（ "hasrole（ 'admin'）"）
パブリッククラスのadmincontroller {

    @getMapping（ "/data"）
    public ResponseNtity <String> getSensitivedata（）{
        RESPONSENTETITY.ok（ "Top Secret Data！"）;
    }
}

メソッドレベルのセキュリティを有効にすることを忘れないでください：

 @構(gòu)成
@enableglobalmethodsecurity（prepostenabled = true）
パブリッククラスMethodsecurityConfig {
    //グローバルメソッドセキュリティを使用する場合、余分な豆は必要ありません
}

5.ログインエンドポイントを追加して、トークンを発行します

JWTを認(rèn)証して返すために、シンプルなログインコントローラーを作成します。

 @postmapping（ "/login"）
public ResponseNtity <？
    試す {
        Authentication Authentication = AuthenticationManager.authenticate（
            新しいusernamepasswordauthenticationtoken（request.getusername（）、request.getPassWord（）））
        ）;
        SecurityContextholder.getContext（）。setAuthentication（Authentication）;

        string token = jwtutil.generatetoken（
            authentication.getName（）、
            （collection <？extends grantedauthority>）authentication.getauthorities（）
        ）;

        RESPONSENTENTITY.OK（new JWTResponse（Token））;
    } catch（authenticationexception e）{
        RESPONSENTITY.STATUS（httpstatus.uthorized）.build（）;
    }
}

？ Spring Boot Auto Configurationを使用していない場合は、 AuthenticationManager Beanを公開する必要があります。

最終メモ

• JWTSをLocalStorage（XSSリスク）に保存しないでください。可能であれば、 httpOnly Cookieを好むか、セキュアインメモリストレージを使用します。
• 生産には常にHTTPSを使用してください。
• 秘密を回転させ、リフレッシュトークンで短いトークンの有効期限を検討します。
• トークンの署名を厳密に検証します。 noneを使用しないでください。

基本的に、REST APIをSpring Securityで固定することは、次のようになります。

• セッションとCSRFの無効化。
• 無國籍認(rèn)証にJWT（またはOAUTH2）を使用します。
• トークンを検証するフィルターを作成します。
• Springの承認(rèn)メカニズムを活用します。

複雑ではありませんが、誤解しやすいです。一度正しく行うと、APIは安全なままです。

以上がSpring SecurityとJavaでREST APIを確保しますの詳細(xì)內(nèi)容です。詳細(xì)については、PHP 中國語 Web サイトの他の関連記事を參照してください。