新手必看 Spring Security 完全指南 - 卡哥小技倆 Carger Tips

文章最後更新於 2024 年 10 月 11 日

1. 什麼是 Spring Security？

定義與目的

Spring Security 是一個強大的安全框架，專為 Spring 應用程序提供身份驗證和授權功能。它的主要目的是保護應用程序免受各種安全威脅，並確保只有授權的用戶可以訪問特定的資源。隨著網絡應用的增長，信息安全變得愈加重要，Spring Security 提供了一個全面的解決方案來應對這些挑戰。

主要特性

多種身份驗證機制支援：
- 支援多種身份驗證方式，包括表單登入、HTTP 基本認證、OAuth2、JWT 等，能夠滿足不同應用的需求。
細粒度的授權控制：
- 透過角色和權限的配置，開發者可以實現細緻的訪問控制，進一步提高應用的安全性。
強大的防護機制：
- 提供多種防護措施，如 CSRF（跨站請求偽造）保護、Session 管理、密碼加密等，從而加強應用程序的安全性。

2. Spring Security 的核心概念

身份驗證（Authentication）

身份驗證是確認用戶身份的過程，確保用戶是其所聲稱的身份。常見的身份驗證方式包括：

用戶名/密碼：這是最基本的身份驗證方式，用戶輸入用戶名和密碼進行驗證。
社交媒體登入：許多應用允許用戶透過第三方社交媒體賬戶（如 Facebook、Google）進行登錄。

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
        .withUser("user").password(passwordEncoder().encode("password")).roles("USER")
        .and()
        .withUser("admin").password(passwordEncoder().encode("admin")).roles("ADMIN");
}

授權（Authorization）

授權是確定用戶是否有權訪問特定資源或執行特定操作的過程。Spring Security 使用角色和權限來控制訪問：

角色：用戶所屬的角色（如 ADMIN、USER），可用於簡單的權限控制。
權限：細粒度的控制，允許對特定操作進行授權。

@PreAuthorize("hasRole('ADMIN')")
public void adminOnlyMethod() {
    // 只有 ADMIN 角色的用戶可以訪問
}

安全上下文（Security Context）

安全上下文是用於存儲當前用戶安全信息的容器，包括用戶的身份和權限。Spring Security 透過 SecurityContextHolder 提供對安全上下文的訪問。

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
String currentPrincipalName = authentication.getName();

3. 如何在 Spring 應用中配置 Spring Security？

基本配置

在 Spring 應用中配置 Spring Security 主要涉及以下步驟：

添加 Spring Security 依賴：
在 Maven 或 Gradle 中添加 Spring Security 依賴。


<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>5.4.0</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>5.4.0</version>
</dependency>

創建安全配置類：
創建一個配置類，繼承 WebSecurityConfigurerAdapter，並覆蓋相應的方法進行配置。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }
}

用戶詳細信息服務

使用 UserDetailsService 介面自定義用戶詳細信息，從而實現用戶的身份驗證：

@Service
public class MyUserDetailsService implements UserDetailsService {
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 查詢用戶並返回 UserDetails 實例
    }
}

安全過濾器鏈

Spring Security 使用過濾器鏈來處理請求。每個過濾器都有特定的安全功能，可以按照順序處理請求與響應。開發者可以自定義過濾器並添加到過濾器鏈中。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.addFilterBefore(new CustomFilter(), UsernamePasswordAuthenticationFilter.class);
}

4. 常見的身份驗證和授權策略

基於表單的身份驗證

基於表單的身份驗證是一種常見的身份驗證方式，用戶通過填寫用戶名和密碼提交表單進行登錄。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .anyRequest().authenticated()
            .and()
        .formLogin()
            .loginPage("/login")
            .defaultSuccessUrl("/home", true)
            .permitAll()
            .and()
        .logout()
            .permitAll();
}

方法級安全

Spring Security 提供了方法級安全控制，開發者可以使用註解如 @PreAuthorize 和 @Secured 來保護方法。

@PreAuthorize("hasRole('ADMIN')")
public void secureMethod() {
    // 僅有 ADMIN 角色的用戶可以執行
}

基於角色的授權

根據用戶角色來限制訪問是 Spring Security 的一個重要特性。開發者可以定義角色並使用 hasRole 或 hasAuthority 進行控制。

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
            .anyRequest().authenticated();
}

5. 進階主題

OAuth2 和 OpenID Connect

OAuth2 和 OpenID Connect 是現代身份驗證的流行標準，Spring Security 提供了對這些標準的支援。通過這些標準，應用程序可以輕鬆地集成第三方身份提供者，如 Google 和 Facebook。

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .oauth2Login();
    }
}

JWT（JSON Web Token）

JWT 是一種開放標準（RFC 7519），用於安全地在各方之間傳遞信息。Spring Security 支援使用 JWT 進行無狀態身份驗證。

// JWT 生成示例
String jwt = Jwts.builder()
    .setSubject("user")
    .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
    .signWith(SignatureAlgorithm.HS512, SECRET)
    .compact();

安全事件處理

Spring Security 支援捕捉和處理安全事件，如登入失敗、敏感操作等。開發者可以自定義事件處理器來應對這些事件。

@Component
public class CustomAuthenticationFailureHandler implements AuthenticationFailureHandler {
    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException {
        // 處理登入失敗事件
    }
}

6. 常見問題與最佳實踐

安全性最佳實踐

使用 HTTPS：確保所有的數據傳輸都是加密的，防止中間人攻擊。
密碼哈希：使用 bcrypt 等安全的哈希算法存儲密碼，而不是明文存儲。
CSRF 保護：啟用 CSRF 保護，防止跨站請求偽造攻擊。

排錯技巧

常見配置錯誤：檢查 Spring Security 的配置是否正確，如 URL 匹配是否正確。
日誌：啟用調試日誌，查看身份驗證和授權過程中的詳細信息，幫助定位問題。

資源與學習資源

官方文檔：Spring Security 的官方文檔提供了詳細的使用指南。
書籍：如《Spring Security in Action》是一本很好的資源來深入了解 Spring Security。
線上課程：平台如 Udemy 和 Coursera 提供了多個 Spring Security 的線上課程。

透過以上內容，開發者可以快速了解 Spring Security 的基本概念和配置方式，並進一步掌握身份驗證和授權的策略及進階主題。這將有助於提升 Spring 應用的安全性。

關於作者

Carger

我是Oscar (卡哥)，前Yahoo Lead Engineer、高智商同好組織Mensa會員，超過十年的工作經驗，服務過Yahoo關鍵字廣告業務部門、電子商務及搜尋部門，喜歡彈吉他玩音樂，也喜歡投資美股、虛擬貨幣，樂於與人分享交流！