在Java Web應(yīng)用程序中，使用彈簧安全性進(jìn)行健壯，符合標(biāo)準(zhǔn)的身份驗(yàn)證和授權(quán)。 2。通過(guò)基于表格的登錄或JWT實(shí)現(xiàn)身份驗(yàn)證，以確保使用BCRypt和令牌進(jìn)行確保密碼安全。 3.使用URL級(jí)和方法級(jí)控件（例如，@preauthorize）應(yīng)用授權(quán)，以根據(jù)角色或條件限制訪問(wèn)。 4。遵循安全最佳實(shí)踐，包括HTTP，安全cookie，輸入驗(yàn)證，CSRF保護(hù)和限制速率。 5。除非絕對(duì)必要，否則避免使用自定義身份驗(yàn)證機(jī)制，因?yàn)樗鼈內(nèi)菀壮鲥e(cuò)并且缺乏內(nèi)置的保障措施。 Spring Security仍然是Java Web應(yīng)用程序中安全，可擴(kuò)展和可維護(hù)的安全性實(shí)現(xiàn)的建議解決方案。

在Java Web應(yīng)用程序中實(shí)施身份驗(yàn)證和授權(quán)對(duì)于確保對(duì)資源的訪問(wèn)并確保只有合法用戶才能執(zhí)行特定的操作至關(guān)重要。無(wú)論您是構(gòu)建簡(jiǎn)單的Web應(yīng)用程序還是成熟的企業(yè)系統(tǒng)，這都是使用標(biāo)準(zhǔn)Java技術(shù)和框架有效地進(jìn)行操作的方法。

1。選擇正確的框架：彈簧安全性（建議）

雖然您可以使用Servlet過(guò)濾器和會(huì)話管理手動(dòng)實(shí)施安全性，但Spring Security是Java Web應(yīng)用程序中身份驗(yàn)證和授權(quán)的事實(shí)上的標(biāo)準(zhǔn)。它與Spring Boot無(wú)縫集成，并在開箱即用提供可靠的可配置安全功能。

為什么要彈簧安全？

• 處理身份驗(yàn)證，授權(quán)，會(huì)話管理，CSRF保護(hù)等。
• 支持多個(gè)身份驗(yàn)證方法（形式登錄，OAUTH2，JWT，LDAP等）
• 通過(guò)@PreAuthorize這樣的注釋細(xì)粒度訪問(wèn)控制
• 活躍的社區(qū)和廣泛的文件

添加到pom.xml （用于maven）：

 <依賴項(xiàng)>
    <groupId> org.springframework.boot </groupId>
    <Artifactid> Spring-Boot-Starter-Security </artifactid>
</dependency>

2。設(shè)置身份驗(yàn)證：用戶如何登錄

身份驗(yàn)證驗(yàn)證用戶是誰(shuí)。常見方法：

基于表格的登錄（簡(jiǎn)單用戶名/密碼）

Spring Security提供默認(rèn)的登錄表單，或者允許您自定義自己的登錄表單。

示例配置：

 @配置
@enablewebsecurity
公共類SecurityConfig {

    @豆
    公共安全縮鏈過(guò)濾鏈（HTTPSECURITY HTTP）拋出異常{
        http
            .authorizeHttpRequests(authz -> authz
                .RequestMatchers（“/public/**”）。許可證（）
                .requestMatchers（“/admin/**”）。hasrole（“ admin”）
                .anyRequest（）。驗(yàn)證（）
            ）
            .formlogin（形式 - >表格
                .loginpage（“/登錄”）
                .Permitall（）
                .defaultsuccessurl（“/home”）
            ）
            .logout（logout-> lokout.permitall（））;
        返回http.build（）;
    }

    @豆
    public userDetailsservice userDetailsservice（）{
        UserDetails用戶= user.withdefaultpasswordencoder（）
            .username（“用戶”）
            .PassWord（“密碼”）
            。角色（“用戶”）
            。建造（）;

        userDetails admin = user.withdefaultpasswordencoder（）
            .username（“ admin”）
            .PassWord（“ admin”）
            。角色（“ admin”）
            。建造（）;

        返回新的inmemoryuserdetailsmanager（user，admin）;
    }
}

??注意：切勿在生產(chǎn)中使用withDefaultPasswordEncoder() 。改用bcrypt。

JWT（無(wú)狀態(tài)身份驗(yàn)證）

對(duì)于REST API或微服務(wù)，請(qǐng)使用JWT（JSON Web令牌）而不是會(huì)話。

步驟：

• 用戶使用憑據(jù)登錄。
• 服務(wù)器驗(yàn)證并返回簽名的JWT。
• 客戶在Authorization: Bearer <token>標(biāo)題。
• 服務(wù)器對(duì)每個(gè)請(qǐng)求驗(yàn)證令牌。

使用諸如JJWT之類的庫(kù)：

 <依賴項(xiàng)>
    <groupId> io.jsonwebtoken </groupId>
    <Artifactid> jjwt-api </artifactid>
    <版本> 0.11.5 </version>
</dependency>

創(chuàng)建一個(gè)過(guò)濾器以攔截請(qǐng)求并驗(yàn)證JWT令牌。

3.實(shí)施授權(quán)：用戶可以做什么

授權(quán)確定允許經(jīng)過(guò)身份驗(yàn)證的用戶做什么。

URL級(jí)安全性

根據(jù)URL模式限制訪問(wèn)：

 .authorizeHttpRequests(authz -> authz
    .requestMatchers（“/admin/**”）。hasrole（“ admin”）
    .requestMatchers（“/profile”）。驗(yàn)證（）
    .anyRequest（）。許可證（）
）

方法級(jí)安全性

使用@PreAuthorize之類的注釋：

 @服務(wù)
公共類用戶服務(wù){(diào)

    @preauthorize（“ hasrole（'admin'）或#userid == authentication.principal.id”）
    公共用戶getuser（int userId）{
        //只有管理員或自我才能訪問(wèn)
    }
}

啟用方法級(jí)安全性：

 @配置
@enablemethodsecurity
公共類SecurityConfig {...}

4。確保最佳實(shí)踐

• ?在生產(chǎn)中使用HTTP來(lái)保護(hù)憑證和代幣。
• ?使用強(qiáng)大算法（例如BCRypt）進(jìn)行哈希密碼。
• ?驗(yàn)證和消毒輸入以防止注射攻擊。
• ?設(shè)置安全的cookie標(biāo)志（httponly，secure，samesite）。
• ?實(shí)施率限制以防止蠻力攻擊。
• ?使用CSRF保護(hù)進(jìn)行狀態(tài)會(huì)話（默認(rèn)情況下在Spring Security中啟用）。

5。替代：自定義身份驗(yàn)證（大多數(shù)情況下不建議使用）

您可以使用以下方式手動(dòng)處理身份驗(yàn)證

• servlet過(guò)濾器
• HttpSession跟蹤已登錄用戶
• 自定義登錄servlet

但是這種方法容易出錯(cuò)，并且缺乏內(nèi)置保護(hù)。僅考慮到非常具體的遺產(chǎn)需求。

示例過(guò)濾片段：

公共無(wú)效Dofilter（ServletRequest Req，ServletResponse Res，F(xiàn)ilter鏈鏈）{
    httpservletrequest request =（httpservletrequest）req;
    httpservletResponse響應(yīng)=（httpservletresponse）res;

    if（request.getSession（）。getAttribute（“用戶”）== null）{
        響應(yīng)sendredirect（“/login”）;
        返回;
    }
    Chain.Dofter（請(qǐng)求，響應(yīng)）；
}

同樣，除非您有強(qiáng)烈的理由不這樣做，否則更喜歡彈簧安全。

最后筆記

• 對(duì)于簡(jiǎn)單的應(yīng)用：春季安全內(nèi)存或數(shù)據(jù)庫(kù)用戶
• 對(duì)于API： Spring Security JWT無(wú)狀態(tài)設(shè)置
• 對(duì)于社交登錄： Spring Security OAuth2 / OpenID Connect

基本上，使用彈簧安全性，正確配置它，哈希密碼，并始終驗(yàn)證誰(shuí)可以訪問(wèn)什么。這并不小，但是正確地確保您的應(yīng)用程序安全。

以上是在Java Web應(yīng)用程序中實(shí)施身份驗(yàn)證和授權(quán)的詳細(xì)內(nèi)容。更多信息請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！