ഇഷ്‌ടാനുസൃത പ്രാമാണീകരണത്തോടുകൂടിയ ഒരു റിയാക്റ്റ്-സ്പ്രിംഗ് ആപ്പിൽ 401 അനധികൃത സ്പ്രിംഗ് സുരക്ഷാ പിശകുകൾ പരിഹരിക്കുന്നു

പരിഹാരം 1: സ്‌റ്റേറ്റ്‌ലെസ് സെഷൻ മാനേജ്‌മെൻ്റിനായി സ്‌പ്രിംഗ് സെക്യൂരിറ്റി കോൺഫിഗറേഷൻ അപ്‌ഡേറ്റ് ചെയ്യുന്നു

ഈ സമീപനം REST API സന്ദർഭത്തിൽ സെഷൻ മാനേജ്‌മെൻ്റ് പരിഹരിക്കുന്നതിന് സ്‌പ്രിംഗ് സെക്യൂരിറ്റിയുടെ സ്‌റ്റേറ്റ്‌ലെസ് സെഷൻ പോളിസി ഉപയോഗിക്കുന്നു, ഇത് റിയാക്റ്റ് പോലുള്ള സിംഗിൾ-പേജ് ആപ്ലിക്കേഷനുകൾക്കായി (SPAs) ഒപ്റ്റിമൈസ് ചെയ്‌തിരിക്കുന്നു. ഇവിടെ, ഒരു REST API സ്‌റ്റേറ്റ്‌ലെസ് മോഡലുമായി പൊരുത്തപ്പെടുന്നതിന് ഞങ്ങൾ SecurityFilterChain കോൺഫിഗറേഷൻ ക്രമീകരിക്കുന്നു.

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Disable CSRF for REST APIs
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/user/register", "/user/login").permitAll()
            .anyRequest().authenticated()
        )
        .httpBasic(Customizer.withDefaults())
        .sessionManagement(session ->
            session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        )
        .build();
}

പരിഹാരം 2: ടോക്കൺ അടിസ്ഥാനമാക്കിയുള്ള പ്രാമാണീകരണത്തിനുള്ള ഇഷ്‌ടാനുസൃത പ്രാമാണീകരണ ഫിൽട്ടർ

ഈ പരിഹാരത്തിൽ, ഒരു ഇഷ്‌ടാനുസൃത ഫിൽട്ടർ ഉപയോക്താവിനെ പ്രാമാണീകരിക്കുകയും പ്രതികരണ തലക്കെട്ടിൽ ഒരു ടോക്കൺ അറ്റാച്ചുചെയ്യുകയും ചെയ്യുന്നു. ഈ ഫിൽട്ടർ ടോക്കൺ അധിഷ്‌ഠിത പ്രാമാണീകരണം ഉപയോഗിക്കുന്നു, ഇത് RESTful അപ്ലിക്കേഷനുകൾക്ക് അനുയോജ്യമാണ്, കൂടാതെ React ഉപയോഗിച്ച് തടസ്സമില്ലാതെ പ്രവർത്തിക്കാനും കഴിയും.

@Component
public class CustomAuthFilter extends OncePerRequestFilter {
    private final AuthenticationManager authenticationManager;
    public CustomAuthFilter(AuthenticationManager authManager) {
        this.authenticationManager = authManager;
    }
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
                                    throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            Authentication authentication = new UsernamePasswordAuthenticationToken(token, null);
            Authentication authResult = authenticationManager.authenticate(authentication);
            SecurityContextHolder.getContext().setAuthentication(authResult);
        }
        filterChain.doFilter(request, response);
    }
}

പരിഹാരം 3: സേവന ക്ലാസ് ക്രമീകരണങ്ങളും ടോക്കൺ പ്രതികരണവും

ഈ സേവന നിർവ്വഹണം വിജയകരമായ ലോഗിൻ ചെയ്യുമ്പോൾ ഒരു JWT ടോക്കൺ അയയ്ക്കുന്നു, ഓരോ ഫംഗ്ഷനും പരീക്ഷിക്കാവുന്നതും ആപ്ലിക്കേഷനിലുടനീളം പുനരുപയോഗിക്കാവുന്നതുമാണെന്ന് ഉറപ്പാക്കാൻ മോഡുലാർ ഡിസൈൻ ഉപയോഗിക്കുന്നു.

@Service
public class AuthenticationService {
    private final AuthenticationManager authenticationManager;
    private final TokenProvider tokenProvider; // Custom class for generating JWTs
    public AuthenticationService(AuthenticationManager authenticationManager,
                                 TokenProvider tokenProvider) {
        this.authenticationManager = authenticationManager;
        this.tokenProvider = tokenProvider;
    }
    public String authenticateAndGenerateToken(LoginDTO loginDTO) {
        Authentication authentication = authenticationManager
            .authenticate(new UsernamePasswordAuthenticationToken(loginDTO.getUserName(),
                                                                loginDTO.getPassword()));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        return tokenProvider.createToken(authentication);
    }
}

ടോക്കൺ ജനറേഷനും പ്രാമാണീകരണത്തിനുമുള്ള യൂണിറ്റ് ടെസ്റ്റ്

ഈ ജൂണിറ്റ് ടെസ്റ്റ് ആധികാരികത ഉറപ്പാക്കുകയും ടോക്കൺ ജനറേഷൻ ശരിയായി പ്രവർത്തിക്കുകയും സുരക്ഷിതമായ ഉറവിടങ്ങൾ ആക്‌സസ് ചെയ്യുന്നതിനുള്ള പ്രാമാണീകരണം സാധൂകരിക്കുകയും ചെയ്യുന്നു.

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationServiceTest {
    @Autowired
    private MockMvc mockMvc;
    @MockBean
    private AuthenticationService authenticationService;
    @Test
    public void testAuthenticateAndGenerateToken() throws Exception {
        LoginDTO loginDTO = new LoginDTO("user", "password");
        String token = authenticationService.authenticateAndGenerateToken(loginDTO);
        mockMvc.perform(MockMvcRequestBuilders.post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{\\"userName\\":\\"user\\", \\"password\\":\\"password\\"}"))
                .andExpect(status().isOk())
                .andExpect(header().exists("Authorization"))
                .andExpect(content().string("Successfully Authenticated"));
    }
}

സ്പ്രിംഗ് സെക്യൂരിറ്റി ഇഷ്‌ടാനുസൃത പ്രാമാണീകരണ പ്രശ്‌നങ്ങളെക്കുറിച്ചുള്ള പൊതുവായ ചോദ്യങ്ങൾ

1. സജ്ജീകരിച്ചതിന് ശേഷവും എനിക്ക് എന്തുകൊണ്ട് 401 അനധികൃത പിശക് ലഭിക്കുന്നു SecurityContextHolder?
2. പ്രാമാണീകരണ സന്ദർഭം നിലനിൽക്കുന്നില്ലെങ്കിൽ 401 പിശക് പലപ്പോഴും സംഭവിക്കുന്നു. നിങ്ങളുടെ ആപ്ലിക്കേഷൻ സ്‌റ്റേറ്റ്‌ലെസ് ആണെങ്കിൽ ടോക്കൺ അധിഷ്‌ഠിത പ്രാമാണീകരണം ഉപയോഗിക്കുന്നുണ്ടെന്ന് ഉറപ്പാക്കുക.
3. സ്പ്രിംഗ് സെക്യൂരിറ്റിയിൽ സ്റ്റേറ്റ്ലെസ് സെഷൻ മാനേജ്മെൻ്റ് എങ്ങനെ പ്രവർത്തനക്ഷമമാക്കാം?
4. സജ്ജമാക്കുക SessionCreationPolicy.STATELESS നിങ്ങളുടെ SecurityFilterChain ഓരോ അഭ്യർത്ഥനയും സ്വതന്ത്രമായി ആധികാരികമാണെന്ന് ഉറപ്പാക്കാൻ.
5. എന്താണ് പങ്ക് DaoAuthenticationProvider ഇഷ്‌ടാനുസൃത പ്രാമാണീകരണത്തിലോ?
6. ദി DaoAuthenticationProvider നിങ്ങളുടെ ഡാറ്റാബേസിനെതിരായ ഉപയോക്തൃ ക്രെഡൻഷ്യലുകൾ സ്ഥിരീകരിക്കുകയും സുരക്ഷിതമായ പ്രാമാണീകരണത്തിനായി പാസ്‌വേഡുകൾ എൻകോഡ് ചെയ്യുകയും ചെയ്യുന്നു.
7. സ്പ്രിംഗ് സെക്യൂരിറ്റിയിൽ സെഷൻ മാനേജ്മെൻ്റിനായി എനിക്ക് JWT ടോക്കണുകൾ ഉപയോഗിക്കാമോ?
8. അതെ, സ്‌റ്റേറ്റ്‌ലെസ് ആപ്ലിക്കേഷനുകൾക്ക് JWT ടോക്കണുകൾ അനുയോജ്യമാണ്. പ്രാമാണീകരണത്തിന് ശേഷം ഒരു ടോക്കൺ സൃഷ്‌ടിക്കുകയും തുടർന്നുള്ള അഭ്യർത്ഥനകൾക്കായി തലക്കെട്ടിൽ ഉൾപ്പെടുത്തുകയും ചെയ്യുക.
9. CSRF സംരക്ഷണം സ്‌റ്റേറ്റ്‌ലെസ് എപിഐകളെ എങ്ങനെ ബാധിക്കുന്നു?
10. CSRF സംരക്ഷണം സാധാരണയായി ഉപയോഗിക്കുന്ന സ്‌റ്റേറ്റ്‌ലെസ് എപിഐകളിൽ പ്രവർത്തനരഹിതമാണ് csrf().disable() സെഷനുകളില്ലാത്ത API-കൾക്ക് ഇത് അനാവശ്യമായതിനാൽ.
11. ലോഗിൻ അല്ലെങ്കിൽ രജിസ്‌റ്റർ പോലുള്ള ചില എൻഡ്‌പോയിൻ്റുകളിലേക്ക് എനിക്ക് പൊതു ആക്‌സസ് അനുവദിക്കണമെങ്കിൽ എന്തുചെയ്യും?
12. ഉപയോഗിക്കുക authorizeHttpRequests കൂടാതെ ആധികാരികത ഇല്ലാതെ ആക്സസ് ചെയ്യാൻ കഴിയുന്ന അവസാന പോയിൻ്റുകൾ വ്യക്തമാക്കുക permitAll().
13. റിയാക്ടിനൊപ്പം ക്ലയൻ്റ് ഭാഗത്ത് ടോക്കണുകൾ എങ്ങനെ സംഭരിക്കാം?
14. ടോക്കണുകൾ സംഭരിക്കുക localStorage അല്ലെങ്കിൽ sessionStorage, ബാക്കെൻഡിന് ഓരോ അഭ്യർത്ഥനയുടെയും ആധികാരികത ഉറപ്പാക്കാൻ ഓരോ അഭ്യർത്ഥനയുടെയും തലക്കെട്ടിൽ അവ ഉൾപ്പെടുത്തുക.
15. API-കൾക്കായി CSRF പ്രവർത്തനരഹിതമാക്കുന്നത് സുരക്ഷിതമാണോ?
16. നിങ്ങളുടെ ആപ്പ് ടോക്കണുകളെ ആശ്രയിക്കുകയോ കുക്കികൾ ഉപയോഗിക്കുന്നില്ലെങ്കിലോ API-കൾക്കായി CSRF പ്രവർത്തനരഹിതമാക്കുന്നത് സുരക്ഷിതമാണ്, കാരണം CSRF പ്രധാനമായും കുക്കി അടിസ്ഥാനമാക്കിയുള്ള ആക്രമണങ്ങളിൽ നിന്ന് സംരക്ഷിക്കുന്നു.
17. എന്താണ് പ്രവർത്തനം OncePerRequestFilter ഇഷ്‌ടാനുസൃത പ്രാമാണീകരണത്തിലോ?
18. ഈ ഫിൽട്ടർ ഓരോ അഭ്യർത്ഥനയിലും ഒരിക്കൽ മാത്രം പ്രവർത്തിക്കുന്നു, അഭ്യർത്ഥന സൈക്കിളിൽ അനാവശ്യ പരിശോധനകളില്ലാതെ പ്രാമാണീകരണ ലോജിക് സ്ഥിരമായി ബാധകമാണെന്ന് ഉറപ്പാക്കുന്നു.
19. എന്തുകൊണ്ടാണ് എൻ്റെ പ്രാമാണീകരണ ടോക്കൺ വ്യത്യസ്ത എൻഡ് പോയിൻ്റുകളിൽ തിരിച്ചറിയാൻ കഴിയാത്തത്?
20. ഓരോ അഭ്യർത്ഥനയുടെയും തലക്കെട്ടിൽ നിങ്ങൾ ടോക്കൺ സജ്ജീകരിച്ചിട്ടുണ്ടെന്ന് ഉറപ്പാക്കുകയും സ്ഥിരമായ ടോക്കൺ സ്ഥിരീകരണ പ്രക്രിയ ഉപയോഗിച്ച് സെർവറിൽ ഇത് ശരിയായി സാധൂകരിക്കപ്പെട്ടിട്ടുണ്ടെന്ന് സ്ഥിരീകരിക്കുകയും ചെയ്യുക.
21. എൻ്റെ സ്പ്രിംഗ് സെക്യൂരിറ്റി കോൺഫിഗറേഷൻ എങ്ങനെ പരിശോധിക്കാം?
22. ഉപയോഗിക്കുക MockMvc അഭ്യർത്ഥനകൾ അനുകരിക്കാനും പ്രാമാണീകരണ പ്രതികരണങ്ങൾ പരിശോധിക്കാനും ലോഗിൻ ചെയ്‌തതിനുശേഷം മാത്രമേ പരിരക്ഷിത എൻഡ്‌പോയിൻ്റുകൾ ആക്‌സസ് ചെയ്യാനാകൂ എന്ന് സാധൂകരിക്കാനും നിങ്ങളുടെ ടെസ്റ്റുകളിൽ.

കസ്റ്റം സ്പ്രിംഗ് സുരക്ഷാ പ്രാമാണീകരണത്തിലെ 401 പിശകുകൾ പരിഹരിക്കുന്നതിനുള്ള അന്തിമ ചിന്തകൾ

ഒരു ഇഷ്‌ടാനുസൃത ലോഗിൻ പേജ് ഉപയോഗിച്ച് സ്‌പ്രിംഗ് അധിഷ്‌ഠിത അപ്ലിക്കേഷൻ വിജയകരമായി സുരക്ഷിതമാക്കുന്നതിന് ശ്രദ്ധാപൂർവമായ കോൺഫിഗറേഷൻ ആവശ്യമാണ്, പ്രത്യേകിച്ചും സ്‌റ്റേറ്റ്‌ലെസ് സെഷനുകളോ ടോക്കൺ അധിഷ്‌ഠിത സമീപനങ്ങളോ ഉപയോഗിക്കുകയാണെങ്കിൽ. ഒരു റിയാക്‌റ്റ് ഫ്രണ്ട്എൻഡുമായി സംയോജിപ്പിക്കുമ്പോൾ, നിങ്ങളുടെ സുരക്ഷാ കോൺഫിഗറേഷൻ RESTful, സ്‌റ്റേറ്റ്‌ലെസ് തത്വങ്ങളുമായി യോജിപ്പിക്കുന്നുവെന്ന് ഉറപ്പാക്കുന്നത് സെഷൻ പ്രശ്‌നങ്ങൾ ഒഴിവാക്കാൻ സഹായിക്കും.

പരിഷ്ക്കരിക്കുന്നതിൽ നിന്ന് സെക്യൂരിറ്റി ഫിൽറ്റർചെയിൻ ടോക്കൺ അടിസ്ഥാനമാക്കിയുള്ള ഫ്ലോകൾ നടപ്പിലാക്കുന്നതിനുള്ള ക്രമീകരണങ്ങൾ, ഓരോ സമീപനവും ഒരു വിശ്വസനീയമായ ആധികാരികത സജ്ജീകരണം സൃഷ്ടിക്കുന്നതിൽ ഒരു പങ്കു വഹിക്കുന്നു. സെഷൻ മാനേജ്‌മെൻ്റ്, ടോക്കൺ കൈകാര്യം ചെയ്യൽ, സുരക്ഷാ സന്ദർഭം എന്നിവ മനസ്സിലാക്കുന്നതിലൂടെ, നിങ്ങളുടെ സ്‌പ്രിംഗ് സെക്യൂരിറ്റി ആപ്ലിക്കേഷനുകളിലെ 401 അനധികൃത പിശകുകൾ പരിഹരിക്കാൻ നിങ്ങൾ നന്നായി സജ്ജരായിരിക്കും. 🔒