身份驗證驗證用戶身份，而授權確定訪問權限。 2。添加Spring-boot-starter-Security依賴關係，並使用bcryptpasswordencoder在生產(chǎn)中使用自定義的SecurityFilterChain和UserDetailsService配置SecurityConfig。 3。對於REST API，禁用CSRF，設置無狀態(tài)會話策略，將JWT與過濾器一起使用JWT來驗證每個請求的令牌。 4。彈簧安全性減輕OWASP風險：默認情況下啟用CSRF保護，支持HST和CSP等安全標頭，並鼓勵HTTPS。 5。將JPA與數(shù)據(jù)庫支持的UserDetailsservice，通過存儲庫加載用戶，並使用BCRypt編碼密碼。始終將方法級安全性應用於@preauthorize，測試訪問控件並保持依賴性更新，以確保對Java Web應用程序的強大保護。

確保Java Web應用程序是現(xiàn)代軟件開發(fā)的關鍵方面，而Spring Security是處理身份驗證，授權和保護對基於春季應用程序中常見漏洞的框架的首選框架。雖然功能強大，但正確配置可能很複雜。這是一份實用指南，可幫助您有效使用Spring Security確保Java Web應用程序。

1。了解核心概念：身份驗證與授權

在涉足代碼之前，重要的是要區(qū)分兩個基本概念：

• 身份驗證：驗證用戶是誰（例如，通過用戶名/密碼）。
• 授權：確定允許身份驗證的用戶執(zhí)行的操作（例如，訪問特定端點）。

Spring Security可以無縫處理兩者，但是您需要正確配置它們。

2。在春季啟動應用程序中設置彈簧安全

如果您使用的是Spring Boot ，那麼入門很簡單。

添加依賴關係

在您的pom.xml中

 <依賴項>
    <groupId> org.springframework.boot </groupId>
    <Artifactid> Spring-Boot-Starter-Security </artifactid>
</dependency>

這將自動通過默認登錄頁面和在啟動時（以DEV模式）登錄的隨機生成的密碼自動確定所有端點。

基本配置類

創(chuàng)建一個配置類來自定義安全行為：

 @配置
@enablewebsecurity
公共類SecurityConfig {

    @豆
    公共安全縮鏈過濾鏈（HTTPSECURITY HTTP）拋出異常{
        http
            .authorizeHttpRequests(authz -> authz
                .RequestMatchers（“/public/**”）。許可證（）
                .requestMatchers（“/admin/**”）。 hasrole（“ admin”）
                .anyRequest（）。驗證（）
            ）
            .formlogin（形式 - >表格
                .loginpage（“/登錄”）
                .Permitall（）
            ）
            .logout（logout-> lokout.permitall（））;

        返回http.build（）;
    }

    @豆
    public userDetailsservice userDetailsservice（）{
        UserDetails用戶= user.withdefaultpasswordencoder（）
            .username（“用戶”）
            .PassWord（“密碼”）
            。角色（“用戶”）
            。建造（）;

        userDetails admin = user.withdefaultpasswordencoder（）
            .username（“ admin”）
            .PassWord（“ admin”）
            。角色（“ admin”）
            。建造（）;

        返回新的inmemoryuserdetailsmanager（user，admin）;
    }
}

??注意： withDefaultPasswordEncoder()僅用於測試。在生產(chǎn)中，始終使用密碼編碼（例如，bcrypt）。

3。確保REST API（無狀態(tài)身份驗證）

對於REST API，您通常需要使用JWT（JSON Web令牌）而不是基於會話的登錄名來進行無狀態(tài)安全。

關鍵步驟：

• 禁用CSRF（無狀態(tài)API不需要）
• 使用JWT進行身份驗證
• 在每個請求中驗證令牌

JWT的示例配置：

 @豆
公共安全性封裝APIFILTERCHAIN（HTTPSECURITY HTTP）拋出異常{
    http
        .csrf（csrf-> csrf.disable（））
        .SessionManagement（會話 - > 
            Session.SessionCreationPolicy（Session CreationPolicy.Stateless））
        .authorizeHttpRequests(authz -> authz
            .RequestMatchers（“/api/auth/**”）。許可證（）
            .requestMatchers（“/api/admin/**”）。哈斯羅爾（“ admin”）
            .anyRequest（）。驗證（）
        ）
        。

    返回http.build（）;
}

您還需要：

• JwtUtil類生成和驗證令牌
• 一個OncePerRequestFilter攔截請求並驗證JWT
• 端點的身份驗證端點（例如/api/auth/login ）發(fā)出令牌

4。防止常見漏洞

Spring Security默認情況下有助於防禦多個OWASP前10個風險或最少的配置：

總是：

• 在生產(chǎn)中使用https
• 設置安全標頭：

 http.headers（標題 - >標題
    .contentSecurityPolicy(csp -> csp
        。
    。
）；

5。使用數(shù)據(jù)庫（JPA）自定義用戶詳細信息

大多數(shù)應用程序使用數(shù)據(jù)庫，而不是內存用戶。

帶有彈簧數(shù)據(jù)JPA的示例：

 @實體
公共類appuser {
    @ID @GeneratedValue
    私人長ID；
    私有字符串用戶名；
    私人字符串密碼；
    私人弦角色；
    // getters/setters
}

實施UserDetailsService ：

 @服務
公共類CustomuserDetailsservice實現(xiàn)UserDetailsservice {

    @Autowired
    私有用戶repository userrepo;

    @Override
    public userDetails loadUserByusername（字符串用戶名）{
        appuser user = userrepo.findbyusername（用戶名）
            .orelsethrow（（） - >新的USERNAMENOTFOUNDEXCEPTION（“ use not fund”））;

        返回org.springframework.security.core.userdetails.user
            .builder（）
            .username（user.getUsername（））
            .Password（user.getPassword（））
            。
            。建造（）;
    }
}

並配置密碼編碼器：

 @豆
public passwordencoder passwordencoder（）{
    返回新的bcryptpasswordencoder（）;
}

最終提示

• 切勿將密碼存儲在純文本中- 始終使用BCryptPasswordEncoder 。
• 明智地使用角色和當局- 更喜歡hasAuthority()進行細粒度控制。
• 測試您的安全性- 嘗試無登錄而訪問受限制的端點。
• 保持彈簧安全性更新- 新版本修補程序安全問題。
• 在服務/控制器方法上使用@PreAuthorize和@Secured進行方法級安全性：

 @preauthorize（“ hasrole（'admin'）”）
@getMapping（“/admin/data”）
公共列表<Data> getAdmindata（）{...}

基本上，Spring Security為您提供了強大的工具，但是正確配置是關鍵。無論您是構建傳統(tǒng)的Web應用程序還是REST API，了解身份驗證流，利用內置保護以及避免常見的陷阱都可以確保您的Java Web應用程序安全。

以上是使用Spring Security確保Java Web應用程序的詳細內容。更多資訊請關注PHP中文網(wǎng)其他相關文章！