Java: Spring Security ログイン成功後の 403 エラーの解決

アプローチ 1: Spring Security でのロールベースのアクセスを使用した 403 エラーの解決

Java、Spring Security とロールベース認証

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final CustomUserDetailsService userDetailsService;
    public SecurityConfig(CustomUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/", "/login", "/register", "/js/", "/css/", "/images/").permitAll()
            .antMatchers("/search").hasAuthority("USER")
            .anyRequest().authenticated()
            .and()
            .formLogin().loginPage("/login").permitAll()
            .and()
            .logout().logoutSuccessUrl("/login?logout").permitAll();
    }

    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        authProvider.setUserDetailsService(userDetailsService);
        authProvider.setPasswordEncoder(passwordEncoder());
        return authProvider;
    }
}

アプローチ 2: カスタム認証成功ハンドラーを追加して 403 エラーに対処する

Java、Spring Security カスタム認証ハンドラー

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final CustomUserDetailsService userDetailsService;
    public SecurityConfig(CustomUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/", "/login", "/register").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin().loginPage("/login")
            .successHandler(customSuccessHandler())
            .permitAll();
    }

    @Bean
    public AuthenticationSuccessHandler customSuccessHandler() {
        return (request, response, authentication) -> {
            response.sendRedirect("/search");
        };
    }
}

ロールベースのアクセスと成功ハンドラーの単体テスト

Spring Security 構成の JUnit 5 単体テスト

@SpringBootTest
@AutoConfigureMockMvc
public class SecurityConfigTests {
    @Autowired
    private MockMvc mockMvc;

    @Test
    public void testAccessToSearchPageAsLoggedInUser() throws Exception {
        mockMvc.perform(formLogin().user("testUser").password("password"))
               .andExpect(status().is3xxRedirection())
               .andExpect(redirectedUrl("/search"));
    }

    @Test
    public void testAccessToRestrictedPageAsGuest() throws Exception {
        mockMvc.perform(get("/search"))
               .andExpect(status().is3xxRedirection())
               .andExpect(redirectedUrlPattern("/login"));
    }
}

Spring のセキュリティに関する重要な質問と回答

1. 目的は何ですか @EnableWebSecurity?
2. の @EnableWebSecurity アノテーションにより Spring Security 構成がアクティブ化され、アプリケーションのエンドポイントを制御および保護できるようになります。
3. どのようにして authorizeRequests Spring Security で働いていますか?
4. の authorizeRequests このメソッドは、パブリックにアクセスできるエンドポイントと認証を必要とするエンドポイントを指定し、アクセス制御を一元化します。
5. なぜですか BCryptPasswordEncoder パスワードの保存に推奨されますか?
6. BCryptPasswordEncoder パスワードをソルトでハッシュするため、安全性が高く、ブルート フォース攻撃に対する耐性が得られます。
7. どういうことですか successHandler ログイン設定で行うのですか?
8. の successHandler ログイン成功後の動作を定義します。ログイン後にユーザーを特定のページにリダイレクトするためによく使用されます。
9. どのようにして sessionFixation ユーザーセッションを保護しますか?
10. の sessionFixation この戦略は、ログイン後にセッション ID を再生成し、悪意のある攻撃者によるセッション ハイジャックのリスクを軽減します。
11. ログインに成功した後に 403 エラーが表示されるのはなぜですか?
12. ログイン後の 403 エラーは、多くの場合、ロールベースの構成が不十分なために、ユーザーに必要な権限がないことを意味します。
13. の役割は何ですか requestMatchers セキュリティ構成で?
14. requestMatchers 公開ページや静的アセットなど、認証なしでアクセスできる URL パターンを指定できます。
15. Spring Security でログアウト動作を構成するにはどうすればよいですか?
16. Spring Securityでは、 logout このメソッドは、ログアウト後にセッションをクリアし、ユーザーをログイン ページにリダイレクトするようにカスタマイズできます。
17. できる MockMvc セキュリティ構成のテストに使用できますか?
18. はい、 MockMvc テストで HTTP リクエストをシミュレートし、未承認ユーザーのリダイレクトなどのアクセス制御を検証できます。
19. 役割は何ですか CustomUserDetailsService 認証では？
20. CustomUserDetailsService ユーザー名やロールなどのユーザー固有のデータをロードし、Spring が資格情報とアクセス レベルを正確に検証できるようにします。

春のユーザー アクセスの保護に関する最終的な考え

ログイン後の 403 エラーの処理は、多くの場合、アクセス制御を適切に構成することに集約されます。 Spring Security を使用すると、堅牢なセットアップにより、認証されたユーザーが表示を許可されたページにのみアクセスできるようになります。許可を慎重に設定すると、アプリケーションの安全性が確保され、同時にスムーズなユーザー エクスペリエンスが提供されます。

カスタム セッション管理を実装し、ユーザーの詳細を検証し、テストを実行することで、ほとんどのアクセスの問題に自信を持って対処できます。 Spring Security ツールを使用すると、初心者でも安全性の高いアプリを作成できます。これらの構成により、403 エラーが解決され、ユーザーはエラーのないログイン エクスペリエンスを保証できます。 🔒