SpringBoot开发——SpringSecurity安全框架17个业务场景案例（二）

news2024/11/23 10:14:15

文章目录

一、Spring Security 常用应用场景介绍
二、Spring Security场景案例
- 6、CSRF 保护（CSRF Protection）
- - 6.1 Spring Security 配置
  - 6.2 业务逻辑代码
- 7、密码编码（Password Encoding）
- - 7.1 Spring Security 配置
  - 7.2 业务逻辑代码
  - 7.3 控制器
- 8、方法级安全性（Method Security）
- - 8.1 Spring Security 配置
  - 8.2 业务逻辑代码
  - 8.3 控制器
- 9、异常处理（Exception Handling）
- - 9.1 Spring Security 配置
  - 9.2 业务逻辑代码
  - 9.3 控制器
- 10、记住我（Remember-Me）
- - 10.1 Spring Security 配置
  - 10.2 业务逻辑代码
  - 10.3 登录页面 (login.html)
- 11、预授权（Pre-Invocation）
- - 11.1 Spring Security 配置
  - 11.2 业务逻辑代码
  - 11.3 控制器

Spring Security通过一系列注解简化了安全配置，我们将深入探讨 Spring Security框架的17个关键应用场景，包括认证、授权、 OAuth2、 CSRF保护等。每个案例都配有详细的时序图和代码示例，旨在帮助开发者全面理解并有效利用 Spring Security的强大功能，以构建更安全、更可靠的应用程序。

一、Spring Security 常用应用场景介绍

1、认证（Authentication）

应用场景：确保只有经过验证的用户才能访问应用程序。

2、授权（Authorization）

应用场景：控制用户对特定资源的访问权限，如角色基础的访问控制。

3、表单登录（Form-Based Login）

应用场景：为用户提供登录表单，处理登录请求和重定向。

4、HTTP 基本认证（HTTP Basic Authentication）

应用场景：为 RESTful API 或其他服务提供基础的用户名和密码认证。

5、OAuth2 和 OpenID Connect

应用场景：支持现代的授权框架，适用于需要第三方应用认证的场景。

6、CSRF 保护（CSRF Protection）

应用场景：防止跨站请求伪造攻击，保护 Web 应用程序的安全。

7、密码编码（Password Encoding）

应用场景：安全地存储用户密码，防止密码泄露。

8、方法级安全性（Method Security）

应用场景：控制对特定方法或 Bean 属性的访问，实现细粒度的安全控制。

9、异常处理（Exception Handling）

应用场景：自定义安全相关的异常处理，如认证失败、授权失败。

10、记住我（Remember-Me）

应用场景：为用户提供持久的登录状态，方便用户再次访问。

11、预授权（Pre-Invocation）

应用场景：在方法执行前进行安全检查，确保方法调用的安全性。

12、表达式支持（Expression-Based）

应用场景：使用 Spring Expression Language (SpEL) 实现复杂的安全逻辑。

13、安全上下文（Security Context）

应用场景：管理和检索认证信息，如获取当前认证用户。

14、安全过滤器链（Security Filter Chain）

应用场景：处理 HTTP 请求的安全检查，如认证、授权。

15、用户详细信息服务（UserDetailsService）

应用场景：自定义用户认证信息的加载逻辑，如从数据库加载用户数据。

16、多因素认证（Multi-Factor Authentication）

应用场景：增加额外的安全层，如短信验证码、电子邮件确认。

17、匿名访问（Anonymous Access）

应用场景：允许未认证的用户访问某些公共资源。

二、Spring Security场景案例

6、CSRF 保护（CSRF Protection）

业务场景: 一个在线购物网站，需要确保所有的交易请求都是由用户主动发起的，以防止跨站请求伪造攻击。

业务时序图
在这里插入图片描述
1、用户（User）请求页面。

2、浏览器（Browser）向服务器（Server）发送 HTTP GET请求。

3、服务器（Server）接收请求并由应用程序（Application）生成一个 CSRF 令牌。

4、应用程序（Application）将生成的 CSRF 令牌发送回服务器。

5、服务器（Server）将带有 CSRF 令牌的页面发送回浏览器。

6、浏览器（Browser）接收带有 CSRF 令牌的页面并展示给用户。

7、用户（User）提交表单。

8、浏览器（Browser）将带有 CSRF 令牌的 HTTP POST 请求发送到服务器。

9、CSRF 令牌生成器（CSRF Token Generator）验证接收到的 CSRF 令牌。

10、应用程序（Application）确认CSRF 令牌有效。

11、服务器（Server）对 POST 请求做出响应。

6.1 Spring Security 配置

首先，我们需要配置Spring Security以启用CSRF保护。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.csrf.CookieCsrfTokenRepository;
import org.springframework.security.web.csrf.CsrfTokenRepository;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   

    @Override
    protected void configure(HttpSecurity http) throws Exception {
   
        http
            .authorizeRequests()
                .anyRequest().authenticated()
            .and()
            .formLogin()
                .loginPage("/login")
                .defaultSuccessUrl("/home", true)
            .and()
            .logout()
                .permitAll()
            .and()
            .csrf()  // 启用CSRF保护
                .csrfTokenRepository(csrfTokenRepository()); // 自定义CSRF令牌存储
    }

    @Bean
    public CsrfTokenRepository csrfTokenRepository() {
   
        // 使用Cookie存储CSRF令牌
        return CookieCsrfTokenRepository.withHttpOnlyFalse();
    }
}

6.2 业务逻辑代码

创建一个控制器来处理购物车和订单的请求。

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;

@Controller
public class ShoppingCartController {
   

    @GetMapping("/cart")
    public String showCart(){
   
        return "cart";  // 显示购物车页面
    }
    
	@PostMapping("/place-order")
    public String placeOrder() {
   
        // 处理订单逻辑
        return "order-confirmation";  // 显示订单确认页面
    }
    
}

说明

配置类：配置了Spring Security以使用CSRF保护，使用 CookieCsrfTokenRepository来存储CSRF令牌。
控制器：提供了两个端点，一个用于显示购物车，另一个用于处理订单。这两个操作都需要用户已经通过认证。

7、密码编码（Password Encoding）

业务场景: 用户注册和密码重置功能，需要确保存储在数据库中的密码是加密的，以提高安全性。

业务时序图
在这里插入图片描述

1.用户（User）在浏览器（Browser）中输入密码。

2.浏览器（Browser）将包含密码的注册表单提交到服务器（Server）。

3.服务器（Server）请求密码编码器（PasswordEncoder）对密码进行编码。

4.密码编码器（PasswordEncoder）对用户输入的密码进行加密处理。

5.密码编码器（PasswordEncoder）将加密后的密码返回给服务器。

6.服务器（Server）将加密后的密码存储到数据库（Database）。

7.数据库（Database）确认密码已存储，并通知服务器。

8.服务器（Server）向浏览器发送注册成功的响应。

7.1 Spring Security 配置

首先，我们需要配置Spring Security以使用密码编码器。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto