Memperbaiki 401 Kesalahan Keamanan Pegas Tidak Sah di Aplikasi React-Spring dengan Otentikasi Kustom

Solusi 1: Memperbarui Konfigurasi Keamanan Musim Semi untuk Manajemen Sesi Tanpa Status

Pendekatan ini menggunakan kebijakan sesi stateless Spring Security untuk menyelesaikan manajemen sesi dalam konteks REST API, yang dioptimalkan untuk aplikasi satu halaman (SPA) seperti React. Di sini, kami menyesuaikan konfigurasi SecurityFilterChain agar sesuai dengan model stateless REST API.

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Disable CSRF for REST APIs
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/user/register", "/user/login").permitAll()
            .anyRequest().authenticated()
        )
        .httpBasic(Customizer.withDefaults())
        .sessionManagement(session ->
            session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        )
        .build();
}

Solusi 2: Filter Otentikasi Kustom untuk Otentikasi Berbasis Token

Dalam solusi ini, filter khusus mengautentikasi pengguna dan melampirkan token di header respons. Filter ini menggunakan autentikasi berbasis token, yang ideal untuk aplikasi RESTful dan dapat bekerja secara lancar dengan React.

@Component
public class CustomAuthFilter extends OncePerRequestFilter {
    private final AuthenticationManager authenticationManager;
    public CustomAuthFilter(AuthenticationManager authManager) {
        this.authenticationManager = authManager;
    }
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
                                    throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            Authentication authentication = new UsernamePasswordAuthenticationToken(token, null);
            Authentication authResult = authenticationManager.authenticate(authentication);
            SecurityContextHolder.getContext().setAuthentication(authResult);
        }
        filterChain.doFilter(request, response);
    }
}

Solusi 3: Penyesuaian Kelas Layanan dan Respons Token

Implementasi layanan ini mengirimkan token JWT saat login berhasil, menggunakan desain modular untuk memastikan setiap fungsi dapat diuji dan digunakan kembali di seluruh aplikasi.

@Service
public class AuthenticationService {
    private final AuthenticationManager authenticationManager;
    private final TokenProvider tokenProvider; // Custom class for generating JWTs
    public AuthenticationService(AuthenticationManager authenticationManager,
                                 TokenProvider tokenProvider) {
        this.authenticationManager = authenticationManager;
        this.tokenProvider = tokenProvider;
    }
    public String authenticateAndGenerateToken(LoginDTO loginDTO) {
        Authentication authentication = authenticationManager
            .authenticate(new UsernamePasswordAuthenticationToken(loginDTO.getUserName(),
                                                                loginDTO.getPassword()));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        return tokenProvider.createToken(authentication);
    }
}

Tes Unit untuk Pembuatan dan Otentikasi Token

Pengujian JUnit ini memastikan bahwa autentikasi dan pembuatan token berfungsi dengan benar dan memvalidasi autentikasi untuk mengakses sumber daya yang aman.

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationServiceTest {
    @Autowired
    private MockMvc mockMvc;
    @MockBean
    private AuthenticationService authenticationService;
    @Test
    public void testAuthenticateAndGenerateToken() throws Exception {
        LoginDTO loginDTO = new LoginDTO("user", "password");
        String token = authenticationService.authenticateAndGenerateToken(loginDTO);
        mockMvc.perform(MockMvcRequestBuilders.post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{\\"userName\\":\\"user\\", \\"password\\":\\"password\\"}"))
                .andExpect(status().isOk())
                .andExpect(header().exists("Authorization"))
                .andExpect(content().string("Successfully Authenticated"));
    }
}

Pertanyaan Umum Tentang Masalah Otentikasi Kustom Keamanan Musim Semi

1. Mengapa saya masih mendapatkan kesalahan 401 Tidak Sah bahkan setelah mengaturnya SecurityContextHolder?
2. Kesalahan 401 sering terjadi jika konteks autentikasi tidak bertahan. Pastikan Anda menggunakan autentikasi berbasis token jika aplikasi Anda tidak memiliki kewarganegaraan.
3. Bagaimana cara mengaktifkan manajemen sesi tanpa kewarganegaraan di Spring Security?
4. Mengatur SessionCreationPolicy.STATELESS di dalam kamu SecurityFilterChain untuk memastikan bahwa setiap permintaan diautentikasi secara independen.
5. Apa perannya DaoAuthenticationProvider dalam otentikasi khusus?
6. Itu DaoAuthenticationProvider memverifikasi kredensial pengguna terhadap database Anda dan mengkodekan kata sandi untuk otentikasi aman.
7. Bisakah saya menggunakan token JWT untuk manajemen sesi di Spring Security?
8. Ya, token JWT ideal untuk aplikasi tanpa kewarganegaraan. Hasilkan token setelah autentikasi dan sertakan di header untuk permintaan berikutnya.
9. Bagaimana perlindungan CSRF memengaruhi API tanpa kewarganegaraan?
10. Perlindungan CSRF biasanya dinonaktifkan pada penggunaan API tanpa kewarganegaraan csrf().disable() karena API tanpa sesi tidak diperlukan.
11. Bagaimana jika saya ingin mengizinkan akses publik ke beberapa titik akhir seperti login atau registrasi?
12. Menggunakan authorizeHttpRequests dan tentukan titik akhir yang harus dapat diakses tanpa menggunakan otentikasi permitAll().
13. Bagaimana cara menyimpan token di sisi klien dengan React?
14. Simpan token di localStorage atau sessionStorage, lalu sertakan di setiap header permintaan untuk memastikan backend dapat mengautentikasi setiap permintaan.
15. Apakah aman menonaktifkan CSRF untuk API?
16. Menonaktifkan CSRF untuk API aman jika aplikasi Anda mengandalkan token atau tidak menggunakan cookie, karena CSRF terutama melindungi terhadap serangan berbasis cookie.
17. Apa fungsinya OncePerRequestFilter dalam otentikasi khusus?
18. Filter ini hanya dijalankan sekali per permintaan, memastikan bahwa logika autentikasi berlaku secara konsisten tanpa pemeriksaan berlebihan dalam siklus permintaan.
19. Mengapa token autentikasi saya mungkin tidak dikenali di berbagai titik akhir?
20. Pastikan Anda menyetel token di setiap header permintaan dan mengonfirmasi bahwa token tersebut divalidasi dengan benar di server menggunakan proses verifikasi token yang konsisten.
21. Bagaimana cara menguji konfigurasi Spring Security saya?
22. Menggunakan MockMvc dalam pengujian Anda untuk menyimulasikan permintaan, memeriksa respons autentikasi, dan memvalidasi bahwa titik akhir yang dilindungi hanya dapat diakses setelah login.

Pemikiran Akhir tentang Menyelesaikan Kesalahan 401 dalam Otentikasi Keamanan Pegas Kustom

Keberhasilan mengamankan aplikasi berbasis Spring dengan halaman login khusus memerlukan konfigurasi yang cermat, terutama jika menggunakan sesi stateless atau pendekatan berbasis token. Saat berintegrasi dengan frontend React, memastikan bahwa konfigurasi keamanan Anda selaras dengan prinsip-prinsip RESTful dan stateless dapat membantu menghindari masalah sesi.

Dari memodifikasi RantaiFilter Keamanan pengaturan untuk menerapkan alur berbasis token, setiap pendekatan berperan dalam menciptakan pengaturan otentikasi yang andal. Dengan memahami manajemen sesi, penanganan token, dan SecurityContext, Anda akan diperlengkapi dengan baik untuk mengatasi kesalahan 401 Tidak Sah di aplikasi Spring Security Anda. 🔒