第6章 Spring Security 的 Web 安全性（2024 最新版）（下）-阿里云开发者社区

第6章 Spring Security 的 Web 安全性（2024 最新版）（上）+https://developer.aliyun.com/article/1487152

6.2.3 拓展案例 1：自定义 CORS 配置

在复杂的应用架构中，有时需要更灵活地处理跨域请求，比如基于请求的某些特征（例如域名、路径或其他条件）动态允许或拒绝跨域访问。Spring 提供了强大的机制来实现这种自定义 CORS 配置。下面的案例演示了如何根据请求动态配置 CORS。

案例 Demo

假设我们的 Spring Boot 应用需要根据不同的客户端应用动态允许跨域请求，我们可以通过实现 CorsConfigurationSource 接口来达到目的。

步骤 1: 实现 CorsConfigurationSource

创建 CustomCorsConfigurationSource 类来实现 CorsConfigurationSource 接口。在这个类中，我们将根据请求的来源动态决定 CORS 配置。

import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import javax.servlet.http.HttpServletRequest;
import java.util.Arrays;
public class CustomCorsConfigurationSource implements CorsConfigurationSource {
    
    @Override
    public CorsConfiguration getCorsConfiguration(HttpServletRequest request) {
        CorsConfiguration config = new CorsConfiguration();
        
        String origin = request.getHeader("Origin");
        if ("https://trusted.example.com".equals(origin)) {
            config.setAllowedOrigins(Arrays.asList("https://trusted.example.com"));
            config.setAllowedMethods(Arrays.asList("GET", "POST"));
            config.setAllowedHeaders(Arrays.asList("Content-Type", "Authorization"));
            config.setAllowCredentials(true);
        } else {
            config.setAllowedOrigins(Arrays.asList("https://other.example.com"));
            config.setAllowedMethods(Arrays.asList("GET"));
            // Limit other origins to less sensitive operations
        }
        
        return config;
    }
}

在这个例子中，我们根据请求头中的 Origin 动态设置了不同的 CORS 策略。对于来自 https://trusted.example.com 的请求，我们允许了更多的方法和头部，同时允许凭证。对于其他来源，则应用了更严格的限制。

步骤 2: 配置 Spring Security 使用自定义 CORS 配置

接下来，需要在 Spring Security 配置中注册 CustomCorsConfigurationSource。

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .cors().configurationSource(new CustomCorsConfigurationSource())
            .and()
            .authorizeRequests()
                .anyRequest().authenticated();
    }
}

通过 .cors().configurationSource(new CustomCorsConfigurationSource())，我们告诉 Spring Security 使用我们自定义的 CORS 配置逻辑。

测试自定义 CORS 配置

启动应用并尝试从 https://trusted.example.com 和其他源发起跨域请求，你将看到 CORS 响应头和行为根据请求的来源而有所不同。

这种自定义 CORS 配置方式提供了极高的灵活性，允许开发者基于复杂的业务逻辑来动态决定如何处理跨域请求。它对于需要精细控制跨域策略的大型或安全敏感的应用尤为有用。

6.2.4 拓展案例 2：动态 CORS 配置

在一些特定场景下，静态的 CORS 配置可能无法满足需求，例如，当你需要根据数据库中存储的客户端信息或其他动态数据源来决定是否允许跨域请求时。这就需要一种机制来实现动态的 CORS 配置。以下案例将演示如何在 Spring Boot 应用中实现这种动态 CORS 配置。

案例 Demo

假设我们的 Spring Boot 应用需要根据数据库中存储的信息来动态决定是否允许来自特定来源的跨域请求。

步骤 1: 创建动态 CORS 配置服务

首先，创建一个服务 DynamicCorsConfigurationService，该服务负责根据业务逻辑动态生成 CorsConfiguration。

import org.springframework.stereotype.Service;
import org.springframework.web.cors.CorsConfiguration;
@Service
public class DynamicCorsConfigurationService {
    // 假设有一个方法从数据库或其他数据源获取允许的来源列表
    public List<String> getAllowedOrigins() {
        // 这里简化为硬编码，实际应用中应从数据库等动态数据源获取
        return Arrays.asList("https://example.com", "https://example2.com");
    }
    public CorsConfiguration getCorsConfiguration() {
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowedOrigins(getAllowedOrigins());
        config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE"));
        config.setAllowedHeaders(Arrays.asList("Content-Type", "Authorization"));
        config.setAllowCredentials(true);
        return config;
    }
}

步骤 2: 实现 CorsConfigurationSource 接口

接下来，实现 CorsConfigurationSource 接口，使用上一步创建的服务来动态生成 CORS 配置。

import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.CorsConfigurationSource;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import javax.servlet.http.HttpServletRequest;
public class CustomCorsConfigurationSource implements CorsConfigurationSource {
    private final DynamicCorsConfigurationService corsConfigurationService;
    public CustomCorsConfigurationSource(DynamicCorsConfigurationService service) {
        this.corsConfigurationService = service;
    }
    @Override
    public CorsConfiguration getCorsConfiguration(HttpServletRequest request) {
        return corsConfigurationService.getCorsConfiguration();
    }
}

步骤 3: 配置 Spring Security 使用自定义 CORS 配置源

最后，在 Spring Security 配置中注册你的自定义 CORS 配置源。

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private DynamicCorsConfigurationService corsConfigurationService;
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .cors()
            .configurationSource(new CustomCorsConfigurationSource(corsConfigurationService))
            .and()
            .authorizeRequests()
                .anyRequest().authenticated();
    }
}

测试动态 CORS 配置

启动应用并尝试从配置的允许来源列表中的域发起跨域请求。你将看到，只有来自这些允许来源的请求才会成功，其他的跨域请求将被拒绝。

通过实现动态 CORS 配置，你可以根据应用的实时需求或策略来灵活控制跨域请求的处理，使得应用更加安全和可控。这种方法特别适用于需要根据用户、时间或其他业务逻辑动态调整跨域策略的场景。

通过这些案例，你可以看到在 Spring Boot 应用中处理 CORS 的多种方式，从简单的注解到复杂的动态配置，Spring 提供了灵活的工具来满足不同场景下的跨域请求需求。正确配置 CORS 不仅可以提升应用的安全性，还可以确保良好的用户体验和服务的可用性。

6.3 安全头部和内容安全策略

在现代Web开发中，确保应用的安全性不仅仅是关注数据保护，还包括预防各种网络攻击，比如跨站脚本（XSS）、点击劫持等。为了加强Web应用的安全性，HTTP提供了一系列安全相关的响应头部。其中，内容安全策略（CSP）是一个强大的工具，它允许网站管理者控制页面上可以加载和执行的资源。

6.3.1 基础知识详解

在构建Web应用时，确保通信的安全性和防护潜在的客户端攻击是至关重要的。通过利用各种HTTP安全头部和内容安全策略（CSP），开发者可以增加额外的安全层来保护应用和用户。这些机制能够帮助减少和缓解跨站脚本攻击（XSS）、点击劫持、内容混淆等安全威胁。

HTTP 安全响应头

Strict-Transport-Security (HSTS):

强制客户端（如浏览器）通过HTTPS连接到服务器，减少中间人攻击的风险。
示例：Strict-Transport-Security: max-age=31536000; includeSubDomains

X-Content-Type-Options:

阻止浏览器根据响应的内容或其URL猜测和更改MIME类型，从而阻止MIME类型混淆攻击。
示例：X-Content-Type-Options: nosniff

X-Frame-Options:

指定页面是否可以在<frame>, <iframe>, <embed> 或 <object> 中展示，防止点击劫持攻击。
示例：X-Frame-Options: DENY 或 X-Frame-Options: SAMEORIGIN

X-XSS-Protection:

启用某些版本的Internet Explorer内置的反射型XSS过滤器。
示例：X-XSS-Protection: 1; mode=block

Content-Security-Policy (CSP):

CSP是一种用于指定哪些动态资源是被允许执行或加载的额外安全层。通过限制资源来源，CSP有助于防止XSS攻击。
示例：Content-Security-Policy: default-src 'self'

内容安全策略（CSP）

CSP允许网站管理员控制页面上可以加载和执行的资源，是防止XSS攻击的强大工具。通过定义一个或多个策略，开发者可以精确指定哪些类型的资源（如脚本、样式表、图片、视频等）可以从哪些来源加载。

指令:

CSP包含多种指令，如default-src, script-src, style-src, img-src, connect-src等，每种指令控制不同类型资源的加载策略。

来源:

每个指令可以指定允许的来源，如 'self'（仅允许来自同一来源的资源）、特定域名、或 'none'（不允许加载任何资源）。

报告机制:

CSP还提供了一种报告机制，允许浏览器将违反策略的报告发送到指定的URI，帮助开发者监控和调整CSP策略。

通过合理配置和使用这些安全响应头部和CSP，开发者可以显著提高Web应用的安全性，保护用户免受多种网络攻击。理解和实施这些安全措施是现代Web开发的重要组成部分，对于构建安全可靠的应用至关重要。

6.3.2 重点案例：在 Spring Boot 应用中实现 CSP

内容安全策略（CSP）是一个重要的网络安全标准，它帮助网站管理者限制网页上可以加载和执行的资源。通过实施CSP，可以有效防止跨站脚本攻击（XSS）等安全威胁。以下案例展示了如何在Spring Boot应用中实施CSP。

案例 Demo

假设我们的Spring Boot应用需要增加CSP来提升安全性，以下步骤展示了如何通过Spring Security配置CSP。

步骤 1: 配置Spring Security

首先，确保Spring Security已经加入到你的项目依赖中。然后，在Spring Security配置类中添加CSP的设置。

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 其他安全配置...
            .headers()
                .contentSecurityPolicy("default-src 'self'; script-src 'self' https://trustedscripts.example.com; object-src 'none';")
                .reportOnly(true); // 将此行注释以在生产中强制执行CSP
    }
}

在这个配置中，我们指定了几个CSP指令：

default-src 'self': 默认只允许从相同的源加载所有内容。
script-src 'self' https://trustedscripts.example.com: 仅从相同的源和trustedscripts.example.com加载脚本。
object-src 'none': 不允许加载任何插件内容（如Flash）。

我们还使用了.reportOnly(true)将策略设置为仅报告模式，这对于测试和调试CSP非常有用，因为它不会阻止任何内容，而是向指定的报告URI发送违规报告。

步骤 2: 添加CSP报告端点

为了收集CSP违规报告，你需要设置一个端点来接收和处理这些报告。

import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class CspReportController {
    @PostMapping("/csp-report")
    public void cspReport(@RequestBody String cspReport) {
        // 在这里处理CSP违规报告，例如记录到日志或数据库
        System.out.println("CSP Report: " + cspReport);
    }
}

在生产环境中，你可能希望将这些报告存储在日志文件或数据库中，以便进一步分析。

测试 CSP 配置

启动你的Spring Boot应用，并访问你的网页。如果有任何资源违反了CSP策略（在非仅报告模式下），浏览器将阻止它们并在开发者工具的控制台中显示相关信息。在仅报告模式下，违规内容不会被阻止，但相关违规信息将发送到你配置的报告端点。

通过上述步骤，你可以在Spring Boot应用中实施CSP，显著提高应用的安全性，防止跨站脚本攻击等常见的网络安全威胁。正确配置和测试CSP对于确保Web应用安全至关重要。

6.3.3 拓展案例 1：动态加载 CSP

在某些场景下，静态的内容安全策略（CSP）可能无法满足所有需求，特别是在内容或策略需要根据不同用户、页面或其他动态因素变化的复杂应用中。动态加载CSP允许开发者在运行时根据请求的上下文动态构建和应用CSP策略。以下案例演示了如何在Spring Boot应用中实现动态加载CSP。

案例 Demo

假设我们需要根据用户的角色或页面内容动态更改CSP策略，我们可以通过实现Filter接口来达到目的。

步骤 1: 创建一个自定义过滤器

首先，创建一个自定义的Spring Filter，在这个过滤器中，我们将根据请求的特定属性动态设置CSP。

import javax.servlet.*;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
public class DynamicCspFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletResponse httpServletResponse = (HttpServletResponse) response;
        
        // 示例：根据请求动态设置CSP
        String cspPolicy = "default-src 'self'";
        // 这里可以添加逻辑来根据请求动态决定CSP策略
        // 例如，根据用户角色、请求的页面等因素
        
        httpServletResponse.setHeader("Content-Security-Policy", cspPolicy);
        
        chain.doFilter(request, response);
    }
    @Override
    public void init(FilterConfig filterConfig) {}
    @Override
    public void destroy() {}
}

步骤 2: 注册过滤器

接下来，需要在Spring Boot应用中注册这个过滤器。这可以通过在一个配置类中定义一个FilterRegistrationBean来实现。

import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
@Configuration
public class WebConfig {
    @Bean
    public FilterRegistrationBean<DynamicCspFilter> dynamicCspFilter(){
        FilterRegistrationBean<DynamicCspFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new DynamicCspFilter());
        registrationBean.addUrlPatterns("/*"); // 应用于所有请求
        return registrationBean;
    }
}

通过这种方式，每次请求都会经过DynamicCspFilter，根据过滤器中的逻辑动态设置CSP策略。

测试动态 CSP

启动Spring Boot应用，并尝试访问不同的页面或使用不同用户角色登录，根据DynamicCspFilter中的逻辑，你应该能看到不同的CSP策略被应用到不同的响应中。可以通过浏览器的开发者工具查看每个响应的Content-Security-Policy头部，确认动态CSP是否按预期工作。

这种动态加载CSP的方法为开发者提供了极高的灵活性，使得可以根据应用的实际运行环境和需求灵活地调整和应用CSP策略，进一步增强了Web应用的安全性。

6.3.4 拓展案例 2：使用 CSP 报告 URI

内容安全策略（CSP）提供了一种机制，允许开发者指定一个报告URI，浏览器会将所有违反CSP的报告发送到这个地址。通过分析这些报告，开发者可以调整和优化CSP策略，提高网站的安全性。以下案例演示了如何在Spring Boot应用中设置CSP报告URI，并处理收到的CSP违规报告。

案例 Demo

步骤 1: 配置CSP报告URI

首先，在Spring Security配置中添加CSP头部，并指定报告URI。这里，我们使用/csp-report作为报告接收端点。

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .headers()
                .contentSecurityPolicy("default-src 'self'; report-uri /csp-report;")
            .and()
            .authorizeRequests()
                .anyRequest().authenticated();
    }
}

在这个配置中，我们设置了CSP策略default-src 'self';，这意味着所有的资源都必须来自同一个源，同时指定了违规报告发送到/csp-report。

步骤 2: 实现报告接收端点

接下来，需要创建一个控制器来处理收到的CSP违规报告。CSP报告通常以JSON格式发送，因此我们可以通过@RequestBody注解接收这些报告。

import org.springframework.http.ResponseEntity;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class CspReportController {
    @PostMapping("/csp-report")
    public ResponseEntity<Void> receiveCspReport(@RequestBody String reportJson) {
        // 处理CSP违规报告，例如记录到日志或存储到数据库
        System.out.println("Received CSP report: " + reportJson);
        return ResponseEntity.ok().build();
    }
}

步骤 3: 测试CSP报告功能

一旦配置完成，你可以通过故意违反CSP策略来测试这个功能，比如尝试从不同的源加载资源。违反CSP的行为会被浏览器捕捉并发送报告到/csp-report。你可以检查应用的日志来确认是否成功接收到了CSP违规报告。

分析和使用 CSP 报告

收集和分析CSP报告对于理解和改进你的CSP策略至关重要。通过定期审查这些报告，你可以发现潜在的安全问题或不必要的资源限制，并据此调整CSP策略，以确保既安全又不影响用户体验。

此外，你还可以考虑使用专门的CSP报告处理和分析工具，或将报告存储到数据库中，以便进行更深入的分析和监控。

通过在Spring Boot应用中实现和使用CSP报告URI，开发者可以获得宝贵的反馈信息，帮助优化CSP策略，从而提高Web应用的安全性。

通过上述案例，你可以看到通过实施严格的安全头部和CSP策略，以及监控和处理CSP违规报告，能够显著提升应用的安全性，防止各种网络攻击，保护用户信息安全。这些策略和工具为开发者提供了强大的安全防护能力，是现代Web应用安全不可或缺的一部分。

第6章 Spring Security 的 Web 安全性（2024 最新版）（下）

6.2.3 拓展案例 1：自定义 CORS 配置

案例 Demo

测试自定义 CORS 配置

6.2.4 拓展案例 2：动态 CORS 配置

案例 Demo

测试动态 CORS 配置

6.3 安全头部和内容安全策略

6.3.1 基础知识详解

HTTP 安全响应头

内容安全策略（CSP）

6.3.2 重点案例：在 Spring Boot 应用中实现 CSP

案例 Demo

测试 CSP 配置

6.3.3 拓展案例 1：动态加载 CSP

案例 Demo

测试动态 CSP

6.3.4 拓展案例 2：使用 CSP 报告 URI

案例 Demo

分析和使用 CSP 报告

热门文章

最新文章

相关课程

相关电子书

相关实验场景