Исправљање 401 неовлашћених грешака у безбедности Спринг у апликацији Реацт-Спринг са прилагођеном аутентификацијом

Решење 1: Ажурирање Спринг безбедносне конфигурације за управљање сесијама без стања

Овај приступ користи Спринг Сецурити политику сесије без стања да реши управљање сесијом у РЕСТ АПИ контексту, који је оптимизован за апликације са једном страницом (СПА) као што је Реацт. Овде прилагођавамо конфигурацију СецуритиФилтерЦхаин-а тако да одговара РЕСТ АПИ моделу без стања.

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(csrf -> csrf.disable())  // Disable CSRF for REST APIs
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/user/register", "/user/login").permitAll()
            .anyRequest().authenticated()
        )
        .httpBasic(Customizer.withDefaults())
        .sessionManagement(session ->
            session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        )
        .build();
}

Решење 2: Прилагођени филтер за потврду идентитета за аутентификацију засновану на токенима

У овом решењу, прилагођени филтер потврђује аутентичност корисника и прилаже токен у заглавље одговора. Овај филтер користи аутентификацију засновану на токенима, која је идеална за РЕСТфул апликације и може неприметно да ради са Реацт-ом.

@Component
public class CustomAuthFilter extends OncePerRequestFilter {
    private final AuthenticationManager authenticationManager;
    public CustomAuthFilter(AuthenticationManager authManager) {
        this.authenticationManager = authManager;
    }
    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
                                    throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            Authentication authentication = new UsernamePasswordAuthenticationToken(token, null);
            Authentication authResult = authenticationManager.authenticate(authentication);
            SecurityContextHolder.getContext().setAuthentication(authResult);
        }
        filterChain.doFilter(request, response);
    }
}

Решење 3: Прилагођавања класе услуге и одговор на токен

Ова имплементација услуге шаље ЈВТ токен након успешног пријављивања, користећи модуларни дизајн како би се осигурало да се свака функција може тестирати и поново користити у апликацији.

@Service
public class AuthenticationService {
    private final AuthenticationManager authenticationManager;
    private final TokenProvider tokenProvider; // Custom class for generating JWTs
    public AuthenticationService(AuthenticationManager authenticationManager,
                                 TokenProvider tokenProvider) {
        this.authenticationManager = authenticationManager;
        this.tokenProvider = tokenProvider;
    }
    public String authenticateAndGenerateToken(LoginDTO loginDTO) {
        Authentication authentication = authenticationManager
            .authenticate(new UsernamePasswordAuthenticationToken(loginDTO.getUserName(),
                                                                loginDTO.getPassword()));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        return tokenProvider.createToken(authentication);
    }
}

Јединични тест за генерисање токена и аутентификацију

Овај ЈУнит тест осигурава да аутентификација и генерисање токена функционишу исправно и потврђује аутентификацију за приступ сигурним ресурсима.

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationServiceTest {
    @Autowired
    private MockMvc mockMvc;
    @MockBean
    private AuthenticationService authenticationService;
    @Test
    public void testAuthenticateAndGenerateToken() throws Exception {
        LoginDTO loginDTO = new LoginDTO("user", "password");
        String token = authenticationService.authenticateAndGenerateToken(loginDTO);
        mockMvc.perform(MockMvcRequestBuilders.post("/login")
                .contentType(MediaType.APPLICATION_JSON)
                .content("{\\"userName\\":\\"user\\", \\"password\\":\\"password\\"}"))
                .andExpect(status().isOk())
                .andExpect(header().exists("Authorization"))
                .andExpect(content().string("Successfully Authenticated"));
    }
}

Уобичајена питања о проблемима са прилагођеном аутентификацијом Спринг Сецурити

1. Зашто и даље добијам грешку 401 Неовлашћено чак и након подешавања SecurityContextHolder?
2. Грешка 401 се често јавља ако контекст аутентификације не постоји. Уверите се да користите аутентификацију засновану на токенима ако је ваша апликација без држављанства.
3. Како да омогућим управљање сесијама без стања у Спринг Сецурити-у?
4. Сет SessionCreationPolicy.STATELESS у вашем SecurityFilterChain како би се осигурало да сваки захтев буде независно проверен.
5. Која је улога DaoAuthenticationProvider у прилагођеној аутентификацији?
6. Тхе DaoAuthenticationProvider проверава корисничке акредитиве у вашој бази података и кодира лозинке за сигурну аутентификацију.
7. Могу ли да користим ЈВТ токене за управљање сесијом у Спринг Сецурити-у?
8. Да, ЈВТ токени су идеални за апликације без држављанства. Генеришите токен након аутентификације и укључите га у заглавље за наредне захтеве.
9. Како ЦСРФ заштита утиче на АПИ-је без држављанства?
10. ЦСРФ заштита је обично онемогућена у АПИ-јима без стања који користе csrf().disable() пошто је то непотребно за АПИ-је без сесија.
11. Шта ако желим да дозволим јавни приступ неким крајњим тачкама као што су пријављивање или регистрација?
12. Користите authorizeHttpRequests и наведите крајње тачке које треба да буду доступне без употребе аутентификације permitAll().
13. Како да чувам токене на страни клијента помоћу Реацт-а?
14. Чувајте токене у localStorage или sessionStorage, а затим их укључите у заглавље сваког захтева како бисте били сигурни да позадина може да потврди аутентичност сваког захтева.
15. Да ли је безбедно онемогућити ЦСРФ за АПИ-је?
16. Онемогућавање ЦСРФ-а за АПИ-је је безбедно ако се ваша апликација ослања на токене или не користи колачиће, јер ЦСРФ углавном штити од напада заснованих на колачићима.
17. Која је функција OncePerRequestFilter у прилагођеној аутентификацији?
18. Овај филтер се извршава само једном по захтеву, осигуравајући да се логика аутентификације примењује доследно без сувишних провера у циклусу захтева.
19. Зашто мој токен за аутентификацију можда није препознат на различитим крајњим тачкама?
20. Уверите се да сте поставили токен у заглавље сваког захтева и потврдите да је исправно потврђен на серверу коришћењем доследног процеса верификације токена.
21. Како могу да тестирам своју Спринг Сецурити конфигурацију?
22. Користите MockMvc у вашим тестовима да симулирате захтеве, проверите одговоре на аутентификацију и потврдите да су заштићене крајње тачке доступне само након пријављивања.

Завршна размишљања о решавању 401 грешака у прилагођеној пролећној безбедносној аутентификацији

Успешно обезбеђење апликације засноване на Спринг-у са прилагођеном страницом за пријаву захтева пажљиву конфигурацију, посебно ако користите сесије без стања или приступе засноване на токенима. Када се интегришете са Реацт фронтендом, осигуравање да је ваша безбедносна конфигурација усклађена са РЕСТфул принципима без стања може помоћи да се избегну проблеми са сесијом.

Од модификовања СецуритиФилтерЦхаин подешавања за имплементацију токова заснованих на токенима, сваки приступ игра улогу у креирању поузданог подешавања аутентификације. Ако разумете управљање сесијом, руковање токеном и СецуритиЦонтект, бићете добро опремљени да решите 401 неовлашћену грешку у вашим Спринг Сецурити апликацијама. 🔒