當(dāng)前位置：首頁(yè) > 科技 > 軟件

SpringSecurity保護(hù)了什么？你知道嗎？

來(lái)源：責(zé)編：時(shí)間：2024-04-07 17:06:11 181觀看

導(dǎo)讀Spring Security僅對(duì)保護(hù)應(yīng)用程序中的路徑感興趣Spring Security 主要用于保護(hù)應(yīng)用程序中的特定路徑或者 URL，以確保只有經(jīng)過(guò)授權(quán)的用戶能夠訪問(wèn)受保護(hù)的資源。對(duì)于其他路徑或者 URL，Spring Security 可能會(huì)忽略或者不

Spring Security僅對(duì)保護(hù)應(yīng)用程序中的路徑感興趣

Spring Security 主要用于保護(hù)應(yīng)用程序中的特定路徑或者 URL，以確保只有經(jīng)過(guò)授權(quán)的用戶能夠訪問(wèn)受保護(hù)的資源。對(duì)于其他路徑或者 URL，Spring Security 可能會(huì)忽略或者不處理。

忽略 contextPath

在 Servlet 容器中，contextPath 是指 Web 應(yīng)用程序的上下文路徑，即應(yīng)用程序部署的根路徑。這句話指出，Spring Security 在處理路徑時(shí)會(huì)忽略 contextPath。換句話說(shuō)，即使請(qǐng)求的 URL 包含了應(yīng)用程序的上下文路徑，Spring Security 也會(huì)將其視為未經(jīng)過(guò)上下文路徑修飾的路徑來(lái)處理。

servletPath 和 pathInfo 的不確定性

在 Servlet 規(guī)范中，并沒(méi)有準(zhǔn)確定義 servletPath 和 pathInfo 的值將包含特定請(qǐng)求 URI 的內(nèi)容。這兩個(gè)值的含義可能會(huì)因不同的 Servlet 容器或者配置而有所不同。因此，對(duì)于某些特定的請(qǐng)求 URI，servletPath 和 pathInfo 的值可能會(huì)包含不同的內(nèi)容，這可能會(huì)影響 Spring Security 對(duì)請(qǐng)求路徑的處理。

綜上所述，這句話強(qiáng)調(diào)了 Spring Security 在處理路徑時(shí)的一些限制和不確定性，特別是與 Servlet 規(guī)范相關(guān)的部分。開發(fā)者在配置和使用 Spring Security 時(shí)需要考慮這些因素，并確保理解和處理路徑的方式與應(yīng)用程序的要求和預(yù)期一致。

Ant樣式路徑

在 Spring Security 中，Ant 樣式路徑指的是一種類似于 Ant 的路徑匹配模式，它允許使用通配符來(lái)匹配 URL 路徑。這種路徑匹配方式可以通過(guò)簡(jiǎn)單的模式來(lái)匹配一系列的 URL 路徑，具有靈活性和便利性。

Ant 樣式路徑匹配的常見通配符

?匹配任意單個(gè)字符。
*匹配任意數(shù)量的字符，包括空字符。
`` 匹配任意數(shù)量的路徑段。

例如

/admin/ 可以匹配 /admin/user、/admin/user/profile 等路徑。
/user/*/profile 可以匹配 /user/john/profile、/user/jane/profile 等路徑。

AntPathRequestMatcher

是 Spring Security 中用于 Ant 樣式路徑匹配的工具類，提供了一些方法來(lái)執(zhí)行路徑匹配和比較。一些常用的方法包括

AntPathRequestMatcher(String pattern)

構(gòu)造一個(gè) Ant 樣式路徑匹配器，使用指定的模式來(lái)匹配路徑。

matches(HttpServletRequest request)

檢查指定的 HTTP 請(qǐng)求是否與模式匹配。這個(gè)方法通常用于檢查當(dāng)前請(qǐng)求是否與配置的路徑匹配。

getPattern()

獲取當(dāng)前匹配器使用的模式。

setCaseSensitive(boolean caseSensitive)

設(shè)置是否區(qū)分大小寫，默認(rèn)為 true。

setTrimTokens(boolean trimTokens)

設(shè)置是否對(duì)路徑進(jìn)行去空格處理，默認(rèn)為 true。

setPathMatcher(PathMatcher pathMatcher)

設(shè)置路徑匹配器，用于執(zhí)行路徑匹配，默認(rèn)使用 AntPathMatcher。

通過(guò)使用 AntPathRequestMatcher，可以方便地配置 Spring Security 權(quán)限控制規(guī)則，實(shí)現(xiàn)對(duì)特定路徑的訪問(wèn)控制。

HttpFirewall

HttpFirewall 是 Spring Security 中用于防止 HTTP 請(qǐng)求攻擊的接口，主要用于對(duì) HTTP 請(qǐng)求中的特殊字符進(jìn)行過(guò)濾和處理，以防止惡意用戶利用這些特殊字符進(jìn)行攻擊。

HttpFirewall 接口提供的功能

對(duì)特殊字符進(jìn)行過(guò)濾

HttpFirewall 可以對(duì) HTTP 請(qǐng)求中的特殊字符進(jìn)行過(guò)濾，包括 URL 路徑、查詢參數(shù)、請(qǐng)求頭等，以防止惡意用戶利用這些特殊字符進(jìn)行攻擊，例如跨站腳本（XSS）攻擊、路徑遍歷攻擊等。

規(guī)范化 URL 路徑

HttpFirewall 可以對(duì) URL 路徑進(jìn)行規(guī)范化處理，以確保路徑的格式正確且安全。例如，可以移除路徑中多余的斜杠、解碼路徑中的 URL 編碼等。

處理請(qǐng)求參數(shù)

HttpFirewall 可以對(duì) HTTP 請(qǐng)求中的查詢參數(shù)進(jìn)行處理，包括解碼 URL 編碼、過(guò)濾特殊字符等，以確保參數(shù)的安全性。

自定義策略

HttpFirewall 允許用戶自定義特殊字符過(guò)濾和處理的策略，以滿足不同場(chǎng)景下的安全需求。

HttpFirewall 接口的常用實(shí)現(xiàn)類

StrictHttpFirewall

嚴(yán)格的 HTTP 防火墻，對(duì) URL 路徑和查詢參數(shù)進(jìn)行嚴(yán)格的字符過(guò)濾和處理，確保符合 HTTP 規(guī)范和安全要求。

DefaultHttpFirewall

默認(rèn)的 HTTP 防火墻，提供一些基本的安全防護(hù)功能，但不如嚴(yán)格防火墻嚴(yán)格。

用戶自定義實(shí)現(xiàn)類

用戶可以根據(jù)自身的需求，實(shí)現(xiàn) HttpFirewall 接口來(lái)自定義特殊字符過(guò)濾和處理的策略，以滿足特定的安全需求。

通過(guò)使用 HttpFirewall 接口及其實(shí)現(xiàn)類，可以有效地防止 HTTP 請(qǐng)求攻擊，提高應(yīng)用程序的安全性。

轉(zhuǎn)發(fā)HttpFirewall產(chǎn)生的安全日志

HttpFirewall 接口本身并沒(méi)有提供專門用于日志轉(zhuǎn)發(fā)的方法。它主要是用于防止 HTTP 請(qǐng)求攻擊，例如路徑遍歷攻擊、跨站腳本攻擊等。它的主要責(zé)任是對(duì) HTTP 請(qǐng)求中的特殊字符進(jìn)行過(guò)濾和處理，以確保請(qǐng)求的安全性。

如果我們想要將 HttpFirewall 的操作記錄到日志中，我們可以通過(guò)以下幾種方式實(shí)現(xiàn)

使用 AOP

利用 Spring 的 AOP 功能，為 HttpFirewall 的實(shí)現(xiàn)類添加切面，在關(guān)鍵的操作點(diǎn)前后記錄日志。

自定義實(shí)現(xiàn)類

創(chuàng)建一個(gè)自定義的 HttpFirewall 實(shí)現(xiàn)類，在其中添加日志記錄的邏輯。

使用代理類

創(chuàng)建一個(gè)代理類，實(shí)現(xiàn) HttpFirewall 接口，并在代理類中添加日志記錄的邏輯，然后將請(qǐng)求轉(zhuǎn)發(fā)給真正的 HttpFirewall 實(shí)現(xiàn)類。

這些方法都可以實(shí)現(xiàn)將 HttpFirewall 的操作記錄到日志中，我們可以根據(jù)自己的需求和項(xiàng)目的實(shí)際情況選擇適合的方式進(jìn)行實(shí)現(xiàn)。

本文鏈接：http://www.www897cc.com/showinfo-26-81738-0.htmlSpringSecurity保護(hù)了什么？你知道嗎？

聲明：本網(wǎng)頁(yè)內(nèi)容旨在傳播知識(shí)，若有侵權(quán)等問(wèn)題請(qǐng)及時(shí)與本網(wǎng)聯(lián)系，我們將在第一時(shí)間刪除處理。郵件：2376512515@qq.com

上一篇：你有思考過(guò)@Transactional事務(wù)是真的好用嗎？

下一篇：受 TypeScript 啟發(fā)，微軟又搞了一個(gè)神器！

標(biāo)簽：

熱門焦點(diǎn)

K60至尊版剛預(yù)熱一加Ace2 Pro正面硬剛

Redmi這邊剛?cè)缁鹑巛钡男麄髁薑60 Ultra的各種技術(shù)和硬件配置，作為競(jìng)品的一加也坐不住了。一加中國(guó)區(qū)總裁李杰發(fā)布了兩條微博，表示在自家的一加Ace2上早就已經(jīng)采用了和PixelWo
一篇聊聊Go錯(cuò)誤封裝機(jī)制

%w 是用于錯(cuò)誤包裝（Error Wrapping）的格式化動(dòng)詞。它是用于 fmt.Errorf 和 fmt.Sprintf 函數(shù)中的一個(gè)特殊格式化動(dòng)詞，用于將一個(gè)錯(cuò)誤（或其他可打印的值）包裝在一個(gè)新的錯(cuò)誤中。使
三分鐘白話RocketMQ系列—— 如何發(fā)送消息

我們知道RocketMQ主要分為消息生產(chǎn)、存儲(chǔ)（消息堆積）、消費(fèi) 三大塊領(lǐng)域。那接下來(lái)，我們白話一下，RocketMQ是如何發(fā)送消息的，揭秘消息生產(chǎn)全過(guò)程。注意，如果白話中不小心提到相關(guān)代
網(wǎng)紅炒股不為了賺錢，那就是耍流氓！

來(lái)源：首席商業(yè)評(píng)論6月26日高調(diào)宣布入市，網(wǎng)絡(luò)名嘴大v胡錫進(jìn)居然進(jìn)軍了股市。在一次財(cái)經(jīng)媒體峰會(huì)上，幾個(gè)財(cái)經(jīng)圈媒體大佬就“胡錫進(jìn)炒股是否知道認(rèn)真報(bào)道”展開討論。有
造車兩年股價(jià)跌六成，小米的估值邏輯變了嗎？

如果從小米官宣造車后的首個(gè)交易日起持有小米集團(tuán)的股票，那么截至2023年上半年最后一個(gè)交易日，投資者將浮虧59.16%，同區(qū)間的恒生科技指數(shù)跌幅為52.78%
支持aptX Lossless無(wú)損傳輸 iQOO TWS 1賽道版發(fā)布限時(shí)優(yōu)惠價(jià)369元

2023年7月4日，“無(wú)損音質(zhì)，聲動(dòng)人心”iQOO TWS 1正式發(fā)布，支持aptX Lossless無(wú)損傳輸，限時(shí)優(yōu)惠價(jià)369元。iQOO TWS 1耳機(jī)率先支持端到端aptX Lossless無(wú)
OPPO K11評(píng)測(cè)：旗艦級(jí)IMX890加持 2000元檔最強(qiáng)影像手機(jī)

【Techweb評(píng)測(cè)】中端機(jī)型用戶群體巨大，占了中國(guó)目前手機(jī)市場(chǎng)的大頭，一直以來(lái)都是各手機(jī)品牌的“必爭(zhēng)之地”，其中OPPO K系列機(jī)型一直以來(lái)都以高品質(zhì)、
英特爾Xe HPG游戲顯卡：擁有512EU，單風(fēng)扇版本

據(jù)10 月 30 日外媒 TheVerge 消息報(bào)道，英特爾 Xe HPG Arc Alchemist 的正面實(shí)被曝光，不僅擁有 512 EU 版顯卡，還擁有 128EU 的單風(fēng)扇版本。另外，這款顯卡 PCB
三翼鳥智能家居亮相電博會(huì)，讓用戶體驗(yàn)更真實(shí)

2021電博會(huì)在青島國(guó)際會(huì)展中心開幕中，三翼鳥直接把“家”搬到了現(xiàn)場(chǎng)，成為了展會(huì)的一大看點(diǎn)。這也是三翼鳥繼9月9日發(fā)布了行業(yè)首個(gè)一站式定制智慧家平臺(tái)后的