„Java“: 403 klaidos sprendimas po sėkmingo pavasario saugos prisijungimo

1 metodas: 403 klaidos sprendimas naudojant vaidmenimis pagrįstą prieigą su „Spring Security“.

Java, pavasario sauga su vaidmenimis pagrįstu autentifikavimu

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final CustomUserDetailsService userDetailsService;
    public SecurityConfig(CustomUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/", "/login", "/register", "/js/", "/css/", "/images/").permitAll()
            .antMatchers("/search").hasAuthority("USER")
            .anyRequest().authenticated()
            .and()
            .formLogin().loginPage("/login").permitAll()
            .and()
            .logout().logoutSuccessUrl("/login?logout").permitAll();
    }

    @Bean
    public DaoAuthenticationProvider authenticationProvider() {
        DaoAuthenticationProvider authProvider = new DaoAuthenticationProvider();
        authProvider.setUserDetailsService(userDetailsService);
        authProvider.setPasswordEncoder(passwordEncoder());
        return authProvider;
    }
}

2 metodas: 403 klaidos pašalinimas pridedant tinkintą autentifikavimo sėkmės tvarkyklę

„Java“, „Spring Security“ pasirinktinis autentifikavimo tvarkytuvas

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    private final CustomUserDetailsService userDetailsService;
    public SecurityConfig(CustomUserDetailsService userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    @Bean
    public BCryptPasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/", "/login", "/register").permitAll()
            .anyRequest().authenticated()
            .and()
            .formLogin().loginPage("/login")
            .successHandler(customSuccessHandler())
            .permitAll();
    }

    @Bean
    public AuthenticationSuccessHandler customSuccessHandler() {
        return (request, response, authentication) -> {
            response.sendRedirect("/search");
        };
    }
}

Vaidmenimis pagrįstos prieigos ir sėkmės prižiūrėtojo vienetų testai

JUnit 5 vieneto testai pavasario saugos konfigūracijai

@SpringBootTest
@AutoConfigureMockMvc
public class SecurityConfigTests {
    @Autowired
    private MockMvc mockMvc;

    @Test
    public void testAccessToSearchPageAsLoggedInUser() throws Exception {
        mockMvc.perform(formLogin().user("testUser").password("password"))
               .andExpect(status().is3xxRedirection())
               .andExpect(redirectedUrl("/search"));
    }

    @Test
    public void testAccessToRestrictedPageAsGuest() throws Exception {
        mockMvc.perform(get("/search"))
               .andExpect(status().is3xxRedirection())
               .andExpect(redirectedUrlPattern("/login"));
    }
}

Svarbiausi pavasario saugumo klausimai ir atsakymai

1. Koks tikslas @EnableWebSecurity?
2. The @EnableWebSecurity anotacija suaktyvina Spring Security konfigūracijas, todėl galima valdyti ir apsaugoti programos galinius taškus.
3. Kaip veikia authorizeRequests dirbti Spring Security?
4. The authorizeRequests metodas nurodo, kuriuos galinius taškus galima pasiekti viešai ir kuriems reikalingas autentifikavimas, centralizuojant prieigos valdymą.
5. Kodėl yra BCryptPasswordEncoder rekomenduojama saugoti slaptažodžius?
6. BCryptPasswordEncoder sumaišo slaptažodžius, todėl jis yra labai saugus ir atsparus žiaurios jėgos atakoms.
7. Ką daro successHandler padaryti prisijungimo konfigūracijoje?
8. The successHandler apibrėžia, kas nutinka po sėkmingo prisijungimo. Jis dažnai naudojamas naudotojams nukreipti į konkretų puslapį po prisijungimo.
9. Kaip veikia sessionFixation apsaugoti vartotojo sesijas?
10. The sessionFixation strategija atkuria seanso ID po prisijungimo, sumažindama riziką, kad kenkėjiški veikėjai užgrobs seansą.
11. Kodėl sėkmingai prisijungus pasirodo 403 klaida?
12. 403 klaida po prisijungimo dažnai reiškia, kad vartotojui trūksta reikiamų leidimų, galbūt dėl ​​​​nepakankamos vaidmenimis pagrįstos konfigūracijos.
13. Koks yra vaidmuo requestMatchers saugos konfigūracijoje?
14. requestMatchers leidžia nurodyti URL šablonus, kurie turėtų būti pasiekiami be autentifikavimo, pvz., viešieji puslapiai arba statiniai ištekliai.
15. Kaip konfigūruojate atsijungimo elgseną „Spring Security“?
16. Pavasario saugume, logout Metodas gali būti pritaikytas išvalyti seansus ir nukreipti vartotojus į prisijungimo puslapį po atsijungimo.
17. Gali MockMvc būti naudojamas tikrinant saugos konfigūracijas?
18. taip, MockMvc imituoja HTTP užklausas atliekant bandymus, leidžiančius patikrinti prieigos kontrolę, pvz., peradresuoti neteisėtus vartotojus.
19. Koks vaidmuo CustomUserDetailsService autentifikacijoje?
20. CustomUserDetailsService įkelia konkretaus vartotojo duomenis, pvz., vartotojo vardą ir vaidmenis, todėl „Spring“ gali tiksliai patikrinti kredencialus ir prieigos lygius.

Paskutinės mintys apie naudotojų prieigos užtikrinimą pavasarį

403 klaidos tvarkymas po prisijungimo dažnai apsiriboja tinkamo prieigos valdymo konfigūravimu. Naudojant „Spring Security“, patikima sąranka užtikrina, kad autentifikuoti vartotojai galėtų pasiekti tik tuos puslapius, kuriuos jiems leidžiama peržiūrėti. Apgalvotai nustatę leidimus, jūsų programa bus saugi, o naudotojas veiktų sklandžiai.

Įdiegę tinkintą seansų valdymą, patvirtindami vartotojo informaciją ir vykdydami testus, galite užtikrintai išspręsti daugumą prieigos problemų. „Spring Security“ įrankiai suteikia galimybę sukurti itin saugią programėlę, net jei to nesate naujokas. Naudojant šias konfigūracijas, 403 klaidos gali būti išspręstos, todėl naudotojai prisijungia be klaidų. 🔒