401 neatļautu pavasara drošības kļūdu labošana React-Spring lietotnē ar pielāgotu autentifikāciju

1. risinājums: atjauniniet pavasara drošības konfigurāciju bezvalsts sesiju pārvaldībai

Šī pieeja izmanto Spring Security bezvalsts sesiju politiku, lai atrisinātu sesiju pārvaldību REST API kontekstā, kas ir optimizēta vienas lapas lietojumprogrammām (SPA), piemēram, React. Šeit mēs pielāgojam SecurityFilterChain konfigurāciju, lai tā atbilstu REST API bezvalsts modelim.

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Disable CSRF for REST APIs
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/user/register", "/user/login").permitAll()
            .anyRequest().authenticated()
        )
        .httpBasic(Customizer.withDefaults())
        .sessionManagement(session ->
            session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        )
        .build();
}

2. risinājums. Pielāgots autentifikācijas filtrs uz marķieriem balstītai autentifikācijai

Šajā risinājumā pielāgots filtrs autentificē lietotāju un atbildes galvenē pievieno marķieri. Šis filtrs izmanto uz marķieri balstītu autentifikāciju, kas ir ideāli piemērota RESTful lietojumprogrammām un var nevainojami darboties ar React.

@Component
public class CustomAuthFilter extends OncePerRequestFilter {
    private final AuthenticationManager authenticationManager;
    public CustomAuthFilter(AuthenticationManager authManager) {
        this.authenticationManager = authManager;
    }
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
                                    throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            Authentication authentication = new UsernamePasswordAuthenticationToken(token, null);
            Authentication authResult = authenticationManager.authenticate(authentication);
            SecurityContextHolder.getContext().setAuthentication(authResult);
        }
        filterChain.doFilter(request, response);
    }
}

3. risinājums: pakalpojumu klases korekcijas un marķiera atbilde

Šī pakalpojuma ieviešana veiksmīgas pieteikšanās gadījumā nosūta JWT marķieri, izmantojot modulāru dizainu, lai nodrošinātu, ka katra funkcija ir pārbaudāma un atkārtoti lietojama visā lietojumprogrammā.

@Service
public class AuthenticationService {
    private final AuthenticationManager authenticationManager;
    private final TokenProvider tokenProvider; // Custom class for generating JWTs
    public AuthenticationService(AuthenticationManager authenticationManager,
                                 TokenProvider tokenProvider) {
        this.authenticationManager = authenticationManager;
        this.tokenProvider = tokenProvider;
    }
    public String authenticateAndGenerateToken(LoginDTO loginDTO) {
        Authentication authentication = authenticationManager
            .authenticate(new UsernamePasswordAuthenticationToken(loginDTO.getUserName(),
                                                                loginDTO.getPassword()));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        return tokenProvider.createToken(authentication);
    }
}

Vienības pārbaude marķiera ģenerēšanai un autentifikācijai

Šis JUnit tests nodrošina, ka autentifikācija un marķiera ģenerēšana darbojas pareizi, un apstiprina autentifikāciju, lai piekļūtu drošiem resursiem.

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationServiceTest {
    @Autowired
    private MockMvc mockMvc;
    @MockBean
    private AuthenticationService authenticationService;
    @Test
    public void testAuthenticateAndGenerateToken() throws Exception {
        LoginDTO loginDTO = new LoginDTO("user", "password");
        String token = authenticationService.authenticateAndGenerateToken(loginDTO);
        mockMvc.perform(MockMvcRequestBuilders.post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{\\"userName\\":\\"user\\", \\"password\\":\\"password\\"}"))
                .andExpect(status().isOk())
                .andExpect(header().exists("Authorization"))
                .andExpect(content().string("Successfully Authenticated"));
    }
}

Bieži uzdotie jautājumi par pavasara drošības pielāgotās autentifikācijas problēmām

1. Kāpēc es joprojām saņemu 401 neatļautu kļūdu pat pēc iestatīšanas SecurityContextHolder?
2. Kļūda 401 bieži rodas, ja autentifikācijas konteksts nepastāv. Ja jūsu lietojumprogramma ir bezvalsts, izmantojiet uz marķieri balstītu autentifikāciju.
3. Kā iespējot bezvalstnieku sesiju pārvaldību programmā Spring Security?
4. Iestatīt SessionCreationPolicy.STATELESS tavā SecurityFilterChain lai nodrošinātu, ka katrs pieprasījums ir neatkarīgi autentificēts.
5. Kāda ir loma DaoAuthenticationProvider pielāgotajā autentifikācijā?
6. The DaoAuthenticationProvider pārbauda lietotāja akreditācijas datus, salīdzinot ar jūsu datu bāzi, un kodē paroles drošai autentifikācijai.
7. Vai es varu izmantot JWT marķierus sesijas pārvaldībai programmā Spring Security?
8. Jā, JWT marķieri ir ideāli piemēroti bezvalsts lietojumiem. Pēc autentifikācijas ģenerējiet marķieri un iekļaujiet to turpmāko pieprasījumu galvenē.
9. Kā CSRF aizsardzība ietekmē bezvalsts API?
10. CSRF aizsardzība parasti ir atspējota bezvalsts API, kas izmanto csrf().disable() jo tas nav nepieciešams API bez sesijām.
11. Ko darīt, ja es vēlos atļaut publisku piekļuvi dažiem galapunktiem, piemēram, pieteikšanās vai reģistrēšanās?
12. Izmantot authorizeHttpRequests un norādiet galapunktus, kuriem jābūt pieejamiem, neizmantojot autentifikāciju permitAll().
13. Kā ar React glabāt žetonus klienta pusē?
14. Glabājiet žetonus localStorage vai sessionStorage, pēc tam iekļaujiet tos katra pieprasījuma galvenē, lai nodrošinātu, ka aizmugursistēma var autentificēt katru pieprasījumu.
15. Vai ir droši atspējot CSRF API?
16. CSRF atspējošana API ir droša, ja jūsu lietotne paļaujas uz pilnvarām vai neizmanto sīkfailus, jo CSRF galvenokārt aizsargā pret uzbrukumiem, kuru pamatā ir sīkfaili.
17. Kāda ir funkcija OncePerRequestFilter pielāgotajā autentifikācijā?
18. Šis filtrs tiek izpildīts tikai vienu reizi vienā pieprasījumā, nodrošinot autentifikācijas loģikas konsekventu piemērošanu bez liekām pārbaudēm pieprasījuma ciklā.
19. Kāpēc manu autentifikācijas pilnvaru var neatpazīt dažādos galapunktos?
20. Pārliecinieties, ka esat iestatījis marķieri katra pieprasījuma galvenē un apstipriniet, ka tas ir pareizi apstiprināts serverī, izmantojot konsekventu marķiera verifikācijas procesu.
21. Kā es varu pārbaudīt savu Spring Security konfigurāciju?
22. Izmantot MockMvc savos testos, lai simulētu pieprasījumus, pārbaudītu autentifikācijas atbildes un apstiprinātu, ka aizsargātie galapunkti ir pieejami tikai pēc pieteikšanās.

Pēdējās domas par 401 kļūdu novēršanu pielāgotajā pavasara drošības autentifikācijā

Lai veiksmīgi nodrošinātu Spring balstītu lietojumprogrammu ar pielāgotu pieteikšanās lapu, ir nepieciešama rūpīga konfigurēšana, īpaši, ja tiek izmantotas bezvalsts sesijas vai uz marķieri balstītas pieejas. Integrējot ar React priekšgalu, nodrošinot, ka jūsu drošības konfigurācija atbilst RESTful, bezvalsts principiem, var izvairīties no sesijas problēmām.

No pārveidošanas SecurityFilterChain iestatījumus, lai ieviestu uz marķieriem balstītas plūsmas, katrai pieejai ir nozīme uzticamas autentifikācijas iestatīšanas izveidē. Izprotot sesiju pārvaldību, marķieru apstrādi un drošības kontekstu, jūs būsiet labi sagatavots, lai atrisinātu 401 neatļautu kļūdu savās Spring Security lietojumprogrammās. 🔒