Gunakan Spring Security untuk pengesahan dan pengesahan patuh standard yang teguh dalam aplikasi web Java. 2. Melaksanakan pengesahan melalui log masuk berasaskan borang atau JWT untuk API tanpa statistik, memastikan kata laluan diketepikan dengan bcrypt dan token diuruskan dengan selamat. 3. Memohon kebenaran menggunakan kawalan peringkat URL dan kaedah (misalnya, @preauthorize) untuk menyekat akses berdasarkan peranan atau syarat. 4. Ikuti amalan terbaik keselamatan termasuk HTTPS, kuki selamat, pengesahan input, perlindungan CSRF, dan pengehadangan kadar. 5. Elakkan mekanisme pengesahan tersuai melainkan benar-benar diperlukan, kerana mereka rawan kesilapan dan kekurangan perlindungan terbina dalam. Keselamatan Spring kekal sebagai penyelesaian yang disyorkan untuk pelaksanaan keselamatan yang selamat, berskala, dan diselenggarakan dalam aplikasi web Java.

Melaksanakan pengesahan dan kebenaran dalam aplikasi web Java adalah penting untuk mendapatkan akses kepada sumber dan memastikan bahawa hanya pengguna yang sah dapat melakukan tindakan tertentu. Sama ada anda membina aplikasi web yang mudah atau sistem perusahaan yang penuh, inilah cara melakukannya dengan berkesan menggunakan teknologi dan kerangka Java standard.

1. Pilih kerangka yang betul: Keselamatan Spring (disyorkan)

Walaupun anda boleh melaksanakan keselamatan secara manual menggunakan penapis servlet dan pengurusan sesi, Spring Security adalah standard de facto untuk pengesahan dan kebenaran dalam aplikasi web Java. Ia mengintegrasikan dengan lancar dengan Spring Boot dan menyediakan ciri -ciri keselamatan yang boleh dikonfigurasikan dari kotak.

Mengapa keselamatan musim bunga?

• Mengendalikan pengesahan, kebenaran, pengurusan sesi, perlindungan CSRF, dll.
• Menyokong pelbagai kaedah pengesahan (Borang Log masuk, OAuth2, JWT, LDAP, dll.)
• Kawalan akses halus melalui anotasi seperti @PreAuthorize
• Komuniti aktif dan dokumentasi yang luas

Tambah ke pom.xml (untuk Maven):

 <geterlihat>
    <groupId> org.springframework.boot </groupId>
    <stifactid> Spring-Boot-Starter-Security </artifactid>
</ketergantungan>

2. Sediakan Pengesahan: Bagaimana Pengguna Log Masuk

Pengesahan mengesahkan siapa pengguna. Pendekatan Biasa:

Log masuk berasaskan borang (nama pengguna/kata laluan mudah)

Keselamatan Spring menyediakan borang log masuk lalai atau membolehkan anda menyesuaikan diri anda sendiri.

Contoh Konfigurasi:

 @Configuration
@EnableWebsecurity
kelas awam SecurityConfig {

    @Bean
    Public SecurityFilterChain FilterChain (httpsecurity http) melemparkan pengecualian {
        http
            . AkhorizeSHttPrequests (Authz -> Authz
                .RequestMatchers ("/awam/**"). PermitAll ()
                .RequestMatchers ("/admin/**"). Hasrole ("Admin")
                .yeRequest (). Disahkan ()
            )
            .FormLogin (bentuk -> bentuk
                .logInpage ("/login")
                .Parmitall ()
                .DefaultSuccessUrl ("/Home")
            )
            .logout (logout -> logOut.permitall ());
        kembali http.build ();
    }

    @Bean
    userDetailsService userDetailsService () {) {) {
        UserDetails user = user.withDefaultPasswordencoder ()
            .UserName ("Pengguna")
            .password ("kata laluan")
            .roles ("pengguna")
            .build ();

        UserDetails admin = user.withDefaultPasswordencoder ()
            .UserName ("Admin")
            .password ("admin")
            .roles ("admin")
            .build ();

        kembali InMemoryUserDetailSsmanager baru (pengguna, admin);
    }
}

?? NOTA: Jangan gunakan withDefaultPasswordEncoder() dalam pengeluaran. Gunakan bcrypt sebaliknya.

JWT (Pengesahan Tanpa Stat)

Untuk API REST atau microservices, gunakan JWT (token web JSON) dan bukan sesi.

Langkah:

• Log pengguna dengan kelayakan.
• Pelayan mengesahkan dan mengembalikan JWT yang ditandatangani.
• Pelanggan menghantar JWT dalam Authorization: Bearer <token> .
• Pelayan mengesahkan token pada setiap permintaan.

Gunakan perpustakaan seperti JJWT :

 <geterlihat>
    <groupId> io.jsonwebtoken </groupId>
    <stistfactid> jjwt-api </artifactid>
    <versi> 0.11.5 </versi>
</ketergantungan>

Buat penapis untuk memintas permintaan dan mengesahkan token JWT.

3. Melaksanakan kebenaran: Apa yang boleh dilakukan pengguna

Kebenaran menentukan apa yang pengguna yang disahkan dibenarkan lakukan.

Keselamatan peringkat URL

Hadkan akses berdasarkan corak URL:

 . AkhorizeSHttPrequests (Authz -> Authz
    .RequestMatchers ("/admin/**"). Hasrole ("Admin")
    .RequestMatchers ("/profil"). Disahkan ()
    .yeRequest (). PermitAll ()
)

Keselamatan peringkat kaedah

Gunakan anotasi seperti @PreAuthorize :

 @Service
UserService Kelas Awam {

    @Preauthorize ("Hasrole ('Admin') atau #UserID == Authentication.Principal.id")
    pengguna awam getUser (int userId) {
        // Hanya pentadbir atau diri yang boleh mengakses
    }
}

Dayakan Keselamatan Tahap Kaedah:

 @Configuration
@Enablemethodsecurity
kelas awam SecurityConfig {...}

4. Amalan terbaik selamat

• ? Gunakan HTTPS dalam pengeluaran untuk melindungi kelayakan dan token.
• ? Kata laluan hash menggunakan algoritma yang kuat seperti bcrypt .
• ? Mengesahkan dan membersihkan input untuk mencegah serangan suntikan.
• ? Tetapkan bendera kuki selamat (httponly, selamat, samesite).
• ? Melaksanakan kadar yang mengehadkan untuk mencegah serangan kekerasan.
• ? Gunakan perlindungan CSRF untuk sesi negara (didayakan secara lalai dalam keselamatan musim bunga).

5. Alternatif: Pengesahan tersuai (tidak disyorkan untuk kebanyakan kes)

Anda boleh mengendalikan pengesahan secara manual menggunakan:

• Penapis servlet
• HttpSession untuk mengesan pengguna log masuk
• Servlet Log Masuk Custom

Tetapi pendekatan ini adalah rawan kesilapan dan tidak mempunyai perlindungan terbina dalam. Hanya menganggapnya untuk keperluan warisan yang sangat spesifik.

Contoh Coretan Penapis:

 public void dofilter (servletRequest req, servletResponse res, filterchain chain) {
    HttpservletRequest request = (httpservletRequest) req;
    HttpservletResponse response = (httpservletResponse) res;

    jika (request.getSession (). getAttribute ("user") == null) {
        response.sendRedirect ("/login");
        kembali;
    }
    chain.dofilter (permintaan, respons);
}

Sekali lagi, lebih suka keselamatan musim bunga melainkan jika anda mempunyai alasan yang kuat untuk tidak.

Nota akhir

• Untuk aplikasi mudah: Pengguna Spring Security In-Memory atau pangkalan data
• Untuk API: Persediaan Tanpa Stateless JWT Spring Security
• Untuk log masuk sosial: Keselamatan Spring OAuth2 / OpenID Connect

Pada asasnya, gunakan keselamatan musim bunga, konfigurasikannya dengan betul, kata laluan hash, dan sentiasa mengesahkan siapa yang boleh mengakses apa. Ia tidak remeh, tetapi mendapatkannya dengan betul menyimpan aplikasi anda selamat.

Atas ialah kandungan terperinci Melaksanakan Pengesahan dan Kebenaran dalam Aplikasi Web Java. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!