Ispravljanje 401 neovlaštenih sigurnosnih pogrešaka Springa u aplikaciji React-Spring s prilagođenom autentifikacijom

Rješenje 1: Ažuriranje sigurnosne konfiguracije Spring za upravljanje sesijom bez stanja

Ovaj pristup koristi politiku sesije bez statusa Spring Security-a za rješavanje upravljanja sesijom u REST API kontekstu, koji je optimiziran za jednostraničke aplikacije (SPA) kao što je React. Ovdje prilagođavamo konfiguraciju SecurityFilterChain da odgovara modelu REST API-ja bez stanja.

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Disable CSRF for REST APIs
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/user/register", "/user/login").permitAll()
            .anyRequest().authenticated()
        )
        .httpBasic(Customizer.withDefaults())
        .sessionManagement(session ->
            session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        )
        .build();
}

Rješenje 2: Prilagođeni filtar provjere autentičnosti za autentifikaciju na temelju tokena

U ovom rješenju prilagođeni filtar autentificira korisnika i prilaže token u zaglavlju odgovora. Ovaj filtar koristi autentifikaciju na temelju tokena, što je idealno za RESTful aplikacije i može besprijekorno raditi s Reactom.

@Component
public class CustomAuthFilter extends OncePerRequestFilter {
    private final AuthenticationManager authenticationManager;
    public CustomAuthFilter(AuthenticationManager authManager) {
        this.authenticationManager = authManager;
    }
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
                                    throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            Authentication authentication = new UsernamePasswordAuthenticationToken(token, null);
            Authentication authResult = authenticationManager.authenticate(authentication);
            SecurityContextHolder.getContext().setAuthentication(authResult);
        }
        filterChain.doFilter(request, response);
    }
}

Rješenje 3: Prilagodbe klase usluge i odgovor tokena

Ova implementacija usluge šalje JWT token nakon uspješne prijave, koristeći modularni dizajn kako bi se osiguralo da se svaka funkcija može testirati i ponovno koristiti u cijeloj aplikaciji.

@Service
public class AuthenticationService {
    private final AuthenticationManager authenticationManager;
    private final TokenProvider tokenProvider; // Custom class for generating JWTs
    public AuthenticationService(AuthenticationManager authenticationManager,
                                 TokenProvider tokenProvider) {
        this.authenticationManager = authenticationManager;
        this.tokenProvider = tokenProvider;
    }
    public String authenticateAndGenerateToken(LoginDTO loginDTO) {
        Authentication authentication = authenticationManager
            .authenticate(new UsernamePasswordAuthenticationToken(loginDTO.getUserName(),
                                                                loginDTO.getPassword()));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        return tokenProvider.createToken(authentication);
    }
}

Jedinični test za generiranje tokena i autentifikaciju

Ovaj JUnit test osigurava da autentifikacija i generiranje tokena rade ispravno i potvrđuje autentifikaciju za pristup sigurnim resursima.

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationServiceTest {
    @Autowired
    private MockMvc mockMvc;
    @MockBean
    private AuthenticationService authenticationService;
    @Test
    public void testAuthenticateAndGenerateToken() throws Exception {
        LoginDTO loginDTO = new LoginDTO("user", "password");
        String token = authenticationService.authenticateAndGenerateToken(loginDTO);
        mockMvc.perform(MockMvcRequestBuilders.post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{\\"userName\\":\\"user\\", \\"password\\":\\"password\\"}"))
                .andExpect(status().isOk())
                .andExpect(header().exists("Authorization"))
                .andExpect(content().string("Successfully Authenticated"));
    }
}

Uobičajena pitanja o problemima prilagođene provjere autentičnosti Spring Security

1. Zašto i dalje dobivam pogrešku 401 Neovlašteno čak i nakon postavljanja SecurityContextHolder?
2. Pogreška 401 često se pojavljuje ako kontekst provjere autentičnosti ne postoji. Provjerite koristite li autentifikaciju na temelju tokena ako je vaša aplikacija bez stanja.
3. Kako mogu omogućiti upravljanje sesijom bez stanja u Spring Security-u?
4. set SessionCreationPolicy.STATELESS u vašem SecurityFilterChain kako bi se osiguralo da je svaki zahtjev neovisno ovjeren.
5. Koja je uloga DaoAuthenticationProvider u prilagođenoj provjeri autentičnosti?
6. The DaoAuthenticationProvider provjerava korisničke vjerodajnice u odnosu na vašu bazu podataka i kodira lozinke za sigurnu autentifikaciju.
7. Mogu li koristiti JWT tokene za upravljanje sesijom u Spring Security-u?
8. Da, JWT tokeni idealni su za aplikacije bez stanja. Generirajte token nakon autentifikacije i uključite ga u zaglavlje za sljedeće zahtjeve.
9. Kako CSRF zaštita utječe na API-je bez stanja?
10. Zaštita od CSRF-a obično je onemogućena kod korištenja API-ja bez stanja csrf().disable() budući da je nepotreban za API-je bez sesija.
11. Što ako želim dopustiti javni pristup nekim krajnjim točkama kao što su prijava ili registracija?
12. Koristiti authorizeHttpRequests i odredite krajnje točke koje bi trebale biti dostupne bez korištenja provjere autentičnosti permitAll().
13. Kako mogu pohraniti tokene na strani klijenta s Reactom?
14. Pohranite tokene u localStorage ili sessionStorage, zatim ih uključite u zaglavlje svakog zahtjeva kako biste osigurali da pozadina može provjeriti autentičnost svakog zahtjeva.
15. Je li sigurno onemogućiti CSRF za API-je?
16. Onemogućavanje CSRF-a za API-je sigurno je ako se vaša aplikacija oslanja na tokene ili ne koristi kolačiće, jer CSRF uglavnom štiti od napada temeljenih na kolačićima.
17. Koja je funkcija OncePerRequestFilter u prilagođenoj provjeri autentičnosti?
18. Ovaj se filtar izvršava samo jednom po zahtjevu, osiguravajući dosljednu primjenu logike provjere autentičnosti bez suvišnih provjera u ciklusu zahtjeva.
19. Zašto moj autentifikacijski token možda neće biti prepoznat na različitim krajnjim točkama?
20. Provjerite jeste li postavili token u zaglavlju svakog zahtjeva i potvrdite da je ispravno potvrđen na poslužitelju pomoću dosljednog postupka provjere tokena.
21. Kako mogu testirati svoju konfiguraciju Spring Security?
22. Koristiti MockMvc u svojim testovima za simulaciju zahtjeva, provjerite odgovore autentifikacije i potvrdite da su zaštićene krajnje točke dostupne samo nakon prijave.

Završne misli o rješavanju pogreške 401 u prilagođenoj proljetnoj sigurnosnoj provjeri autentičnosti

Uspješno osiguravanje aplikacije temeljene na Springu s prilagođenom stranicom za prijavu zahtijeva pažljivu konfiguraciju, osobito ako se koriste sesije bez stanja ili pristupi temeljeni na tokenu. Prilikom integracije s React sučeljem, osiguravanje da je vaša sigurnosna konfiguracija usklađena s RESTful principima bez stanja može pomoći u izbjegavanju problema sa sesijom.

Od modificiranja SecurityFilterChain postavki za implementaciju tokova temeljenih na tokenu, svaki pristup igra ulogu u stvaranju pouzdane postavke provjere autentičnosti. Razumijevanjem upravljanja sesijom, rukovanja tokenima i sigurnosnog konteksta, bit ćete dobro opremljeni za rješavanje 401 neovlaštene pogreške u svojim Spring sigurnosnim aplikacijama. 🔒