Как защитить REST API с помощью Spring Boot и Spring Security?

80

Я знаю, что защита REST API - это широко обсуждаемая тема, но я не могу создать небольшой прототип, который соответствует моим критериям (и мне нужно подтвердить, что эти критерии реалистичны). Есть так много вариантов, как защитить ресурсы и как работать с безопасностью Spring, мне нужно уточнить, реалистичны ли мои потребности.

Мои требования

  • Аутентификатор на основе токена - пользователи предоставят свои учетные данные и получат уникальный и ограниченный по времени токен доступа. Я хотел бы управлять созданием токена, проверкой действительности, истечением срока действия в моей собственной реализации.
  • Некоторые ресурсы REST будут общедоступными - без аутентификации вообще,
  • Некоторые ресурсы будут доступны только пользователям с правами администратора,
  • Другой ресурс будет доступен после авторизации для всех пользователей.
  • Я не хочу использовать обычную проверку подлинности
  • Конфигурация кода Java (не XML)

Текущий статус

Мой REST API работает очень хорошо, но теперь мне нужно его обезопасить. Когда я искал решение, я создал javax.servlet.Filterфильтр:

  @Override
    public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {

        HttpServletRequest request = (HttpServletRequest) req;

        String accessToken = request.getHeader(AUTHORIZATION_TOKEN);
        Account account = accountDao.find(accessToken);

        if (account == null) {    
            throw new UnauthorizedException();    
        }

        chain.doFilter(req, res);

    }

Но это решение javax.servlet.filtersне работает так, как мне нужно, потому что есть проблема с обработкой исключений с помощью @ControllerAdviceSpring servlet dispatcher.

Что мне нужно

Я хотел бы узнать, реалистичны ли эти критерии и получить какую-либо помощь, как начать защищать REST API с помощью Spring Security. Я прочитал много руководств (например, Spring Data REST + Spring Security ), но все они работают в очень простой конфигурации - пользователи с их учетными данными хранятся в памяти в конфигурации, и мне нужно работать с СУБД и создавать собственный аутентификатор.

Пожалуйста, дайте мне несколько идей, как начать.

java  spring  rest  spring-security 
— Артегон
источник

Ответы:

67

Аутентификация на основе токенов - пользователи предоставят свои учетные данные и получат уникальный и ограниченный по времени токен доступа. Я хотел бы управлять созданием токена, проверкой действительности, истечением срока действия в моей собственной реализации.

На самом деле, используйте фильтр для аутентификации токена - лучший способ в этом случае

В конце концов, вы можете создать CRUD через Spring Data для управления такими свойствами токена, как истечение срока действия и т. Д.

Вот мой фильтр токенов: http://pastebin.com/13WWpLq2

И реализация токен-сервиса

http://pastebin.com/dUYM555E

Некоторые ресурсы REST будут общедоступными - аутентификация не требуется.

Это не проблема, вы можете управлять своими ресурсами через конфигурацию безопасности Spring следующим образом: .antMatchers("/rest/blabla/**").permitAll()

Некоторые ресурсы будут доступны только пользователям с правами администратора,

Взгляните на @Securedаннотацию к классу. Пример:

@Controller
@RequestMapping(value = "/adminservice")
@Secured("ROLE_ADMIN")
public class AdminServiceController {

Другой ресурс будет доступен после авторизации для всех пользователей.

Вернувшись к настройке Spring Security, вы можете настроить свой URL-адрес следующим образом:

    http
            .authorizeRequests()
            .antMatchers("/openforall/**").permitAll()
            .antMatchers("/alsoopen/**").permitAll()
            .anyRequest().authenticated()

Я не хочу использовать обычную проверку подлинности

Да, через фильтр токенов ваши пользователи будут аутентифицированы.

Конфигурация кода Java (не XML)

Вернемся к словам выше, посмотрите на @EnableWebSecurity. Ваш класс будет:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {}

Вы должны переопределить метод настройки . Код ниже, например, как настроить сопоставители. Это из другого проекта.

    @Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests()
            .antMatchers("/assets/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin()
                .usernameParameter("j_username")
                .passwordParameter("j_password")
                .loginPage("/login")
                .defaultSuccessUrl("/", true)
                .successHandler(customAuthenticationSuccessHandler)
                .permitAll()
            .and()
                .logout()
                .logoutUrl("/logout")
                .invalidateHttpSession(true)
                .logoutSuccessUrl("/")
                .deleteCookies("JSESSIONID")
                .logoutRequestMatcher(new AntPathRequestMatcher("/logout"))
            .and()
                .csrf();
}
— Александр Лушкин
источник
не могли бы вы помочь мне в моем вопросе? stackoverflow.com/questions/46065063/…
— Фелипе А.
2
Любой пример проекта, который включает все требования?
— AlikElzin-kilaka 03
@Oleksandr: Это долгий путь, но не могли бы вы мне сказать, почему вы начали поток в методе updateLastLogin (...) класса RESTAuthenticationTokenProcessingFilter?
— Z3d4s
1
@ z3d4s, на самом деле это старый пример (4 года), пока я предлагаю использовать OffsetDateTime, другие подходы и т. д. :) новый поток, который я предлагал использовать, чтобы уменьшить время обработки запросов пользователей, потому что это может занять дополнительное время во время сохранения в базу данных.
— Александр Лушкин 01
Ага, я вижу, это гениальное решение! Благодаря!
— Z3d4s
4

Безопасность Spring также очень полезна для обеспечения аутентификации и авторизации URL-адресов REST. Нам не нужно указывать какие-либо специальные реализации.

Во-первых, вам нужно указать точку входа-ref для restAuthenticationEntryPoint в конфигурации безопасности, как показано ниже. 

 <security:http pattern="/api/**" entry-point-ref="restAuthenticationEntryPoint" use-expressions="true" auto-config="true" create-session="stateless" >

    <security:intercept-url pattern="/api/userList" access="hasRole('ROLE_USER')"/>
    <security:intercept-url pattern="/api/managerList" access="hasRole('ROLE_ADMIN')"/>
    <security:custom-filter ref="preAuthFilter" position="PRE_AUTH_FILTER"/>
</security:http>

Реализация restAuthenticationEntryPoint может быть такой, как показано ниже.

 @Component
public class RestAuthenticationEntryPoint implements AuthenticationEntryPoint {

   public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException ) throws IOException {
      response.sendError( HttpServletResponse.SC_UNAUTHORIZED, "Unauthorized" );
   }
}

После этого необходимо указать RequestHeaderAuthenticationFilter. Он содержит ключ RequestHeader. Это в основном используется для идентификации аутентификации пользователя. Обычно RequestHeader передает эту информацию при выполнении вызовов REST. Например, рассмотрите ниже код

   <bean id="preAuthFilter" class="org.springframework.security.web.authentication.preauth.RequestHeaderAuthenticationFilter">
    <property name="principalRequestHeader" value="Authorization"/>
    <property name="authenticationManager" ref="authenticationManager" />
  </bean>

Вот, 

<property name="principalRequestHeader" value="Authorization"/>

«Авторизация» - это ключ, представленный входящему запросу. Он содержит необходимую информацию для аутентификации пользователя. Также вам необходимо настроить PreAuthenticatedAuthenticationProvider, чтобы выполнить наше требование.

   <bean id="preauthAuthProvider" class="org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationProvider">
<property name="preAuthenticatedUserDetailsService">
  <bean id="userDetailsServiceWrapper"
      class="org.springframework.security.core.userdetails.UserDetailsByNameServiceWrapper">
    <property name="userDetailsService" ref="authenticationService"/>
  </bean>
</property>
</bean>

Этот код будет работать для защиты URL-адресов REST с помощью аутентификации и авторизации без каких-либо пользовательских реализаций.

Для получения полного кода перейдите по ссылке ниже:

https://github.com/srinivas1918/spring-rest-security

— Налла Шринивас
источник
-1

Для проверки REST API есть 2 способа

1 - Обычная аутентификация с использованием имени пользователя и пароля по умолчанию, заданных в файле application.properties

Базовая аутентификация

2 - Аутентификация с использованием базы данных (userDetailsService) с фактическим именем пользователя и паролем

Расширенная аутентификация

— Джит Сингх Пармар
источник
Полезно видео. Как сделать такую ​​же расширенную аутентификацию для ReST API. Здесь только описание Web. Есть ли видеоруководство по расширенной аутентификации в REST API.
— Джейкоб
Если вы видели 2-е видео (Расширенная аутентификация), значит, я выполняю ту же аутентификацию с использованием клиента REST (для REST API).
— Джит Сингх Пармар
Используя наш сайт, вы подтверждаете, что прочитали и поняли нашу Политику в отношении файлов cookie и Политику конфиденциальности.
Licensed under cc by-sa 3.0 with attribution required.