401 neteisėtų pavasario saugos klaidų taisymas programoje „React-Spring“ naudojant pasirinktinį autentifikavimą

1 sprendimas: atnaujinkite pavasario saugos konfigūraciją, skirtą seansų be būsenos valdymui

Šis metodas naudoja „Spring Security“ be būsenos seansų politiką, kad išspręstų seansų valdymą REST API kontekste, kuris yra optimizuotas vieno puslapio programoms (SPA), pvz., „React“. Čia pakoreguojame SecurityFilterChain konfigūraciją, kad ji atitiktų REST API be būsenos modelį.

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Disable CSRF for REST APIs
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/user/register", "/user/login").permitAll()
            .anyRequest().authenticated()
        )
        .httpBasic(Customizer.withDefaults())
        .sessionManagement(session ->
            session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        )
        .build();
}

2 sprendimas: tinkintas autentifikavimo filtras, skirtas autentifikavimui žetonais

Šiame sprendime pasirinktinis filtras autentifikuoja vartotoją ir atsakymo antraštėje prideda prieigos raktą. Šis filtras naudoja žetonų autentifikavimą, kuris idealiai tinka RESTful programoms ir gali sklandžiai veikti su React.

@Component
public class CustomAuthFilter extends OncePerRequestFilter {
    private final AuthenticationManager authenticationManager;
    public CustomAuthFilter(AuthenticationManager authManager) {
        this.authenticationManager = authManager;
    }
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
                                    throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            Authentication authentication = new UsernamePasswordAuthenticationToken(token, null);
            Authentication authResult = authenticationManager.authenticate(authentication);
            SecurityContextHolder.getContext().setAuthentication(authResult);
        }
        filterChain.doFilter(request, response);
    }
}

3 sprendimas: paslaugų klasės koregavimai ir atsakymas į žetonus

Šis paslaugos diegimas siunčia JWT prieigos raktą sėkmingo prisijungimo metu, naudojant modulinį dizainą, siekiant užtikrinti, kad kiekviena funkcija būtų išbandoma ir pakartotinai naudojama visoje programoje.

@Service
public class AuthenticationService {
    private final AuthenticationManager authenticationManager;
    private final TokenProvider tokenProvider; // Custom class for generating JWTs
    public AuthenticationService(AuthenticationManager authenticationManager,
                                 TokenProvider tokenProvider) {
        this.authenticationManager = authenticationManager;
        this.tokenProvider = tokenProvider;
    }
    public String authenticateAndGenerateToken(LoginDTO loginDTO) {
        Authentication authentication = authenticationManager
            .authenticate(new UsernamePasswordAuthenticationToken(loginDTO.getUserName(),
                                                                loginDTO.getPassword()));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        return tokenProvider.createToken(authentication);
    }
}

Žetonų generavimo ir autentifikavimo vieneto testas

Šis JUnit testas užtikrina, kad autentifikavimas ir prieigos raktų generavimas veiktų tinkamai, ir patvirtina autentifikavimą norint pasiekti saugius išteklius.

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationServiceTest {
    @Autowired
    private MockMvc mockMvc;
    @MockBean
    private AuthenticationService authenticationService;
    @Test
    public void testAuthenticateAndGenerateToken() throws Exception {
        LoginDTO loginDTO = new LoginDTO("user", "password");
        String token = authenticationService.authenticateAndGenerateToken(loginDTO);
        mockMvc.perform(MockMvcRequestBuilders.post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{\\"userName\\":\\"user\\", \\"password\\":\\"password\\"}"))
                .andExpect(status().isOk())
                .andExpect(header().exists("Authorization"))
                .andExpect(content().string("Successfully Authenticated"));
    }
}

Dažni klausimai apie pavasario saugos pasirinktinio autentifikavimo problemas

1. Kodėl aš vis dar gaunu 401 neteisėtą klaidą net nustatęs SecurityContextHolder?
2. 401 klaida dažnai įvyksta, jei autentifikavimo kontekstas išlieka. Įsitikinkite, kad naudojate prieigos raktu pagrįstą autentifikavimą, jei jūsų programa yra be būsenos.
3. Kaip „Spring Security“ įjungti seansų valdymą be pilietybės?
4. Nustatyti SessionCreationPolicy.STATELESS tavo SecurityFilterChain užtikrinti, kad kiekviena užklausa būtų patvirtinta nepriklausomai.
5. Koks yra vaidmuo DaoAuthenticationProvider pasirinktinio autentifikavimo?
6. The DaoAuthenticationProvider patikrina vartotojo kredencialus pagal jūsų duomenų bazę ir užkoduoja slaptažodžius saugiam autentifikavimui.
7. Ar galiu naudoti JWT žetonus sesijos valdymui „Spring Security“?
8. Taip, JWT žetonai idealiai tinka programoms be būsenos. Po autentifikavimo sugeneruokite prieigos raktą ir įtraukite jį į vėlesnių užklausų antraštę.
9. Kaip CSRF apsauga veikia API be būsenos?
10. CSRF apsauga paprastai išjungiama naudojant API be būsenos csrf().disable() nes tai nereikalinga API be seansų.
11. Ką daryti, jei noriu leisti viešą prieigą prie kai kurių galinių taškų, pvz., prisijungimo ar registracijos?
12. Naudokite authorizeHttpRequests ir nurodykite galinius taškus, kurie turėtų būti pasiekiami be autentifikavimo naudojant permitAll().
13. Kaip išsaugoti žetonus kliento pusėje naudojant „React“?
14. Laikykite žetonus localStorage arba sessionStorage, tada įtraukite juos į kiekvienos užklausos antraštę, kad užtikrintumėte, jog užpakalinė programa gali autentifikuoti kiekvieną užklausą.
15. Ar saugu išjungti CSRF API?
16. Išjungti CSRF API yra saugu, jei jūsų programa remiasi prieigos raktais arba nenaudoja slapukų, nes CSRF daugiausia apsaugo nuo slapukais pagrįstų atakų.
17. Kokia yra funkcija OncePerRequestFilter pasirinktinio autentifikavimo?
18. Šis filtras vykdomas tik vieną kartą per užklausą, užtikrinant, kad autentifikavimo logika būtų taikoma nuosekliai be perteklinių patikrų užklausos cikle.
19. Kodėl mano autentifikavimo prieigos raktas gali būti neatpažįstamas skirtinguose galutiniuose taškuose?
20. Įsitikinkite, kad kiekvienos užklausos antraštėje nustatėte prieigos raktą ir, naudodami nuoseklų prieigos rakto patvirtinimo procesą, patvirtinkite, kad jis tinkamai patvirtintas serveryje.
21. Kaip galiu išbandyti „Spring Security“ konfigūraciją?
22. Naudokite MockMvc savo bandymuose, kad imituotumėte užklausas, patikrintumėte autentifikavimo atsakymus ir patvirtintumėte, kad apsaugoti galiniai taškai pasiekiami tik prisijungus.

Paskutinės mintys, kaip išspręsti 401 klaidas naudojant pasirinktinį pavasario saugos autentifikavimą

Norint sėkmingai apsaugoti pavasario programą naudojant tinkintą prisijungimo puslapį, reikia kruopštaus konfigūravimo, ypač jei naudojami seansai be būsenos arba prieigos raktais pagrįsti metodai. Integruojant su „React“ sąsaja, užtikrinant, kad jūsų saugos konfigūracija atitiktų RESTful, be būsenos principus, galite išvengti seanso problemų.

Nuo modifikavimo SecurityFilterChain parametrus, kad būtų įgyvendinti prieigos raktais pagrįsti srautai, kiekvienas metodas atlieka svarbų vaidmenį kuriant patikimą autentifikavimo sąranką. Suprasdami seansų valdymą, prieigos raktų tvarkymą ir SecurityContext, būsite gerai pasirengę išspręsti 401 neteisėtą „Spring Security“ programų klaidą. 🔒