皮皮网

1.securityԴ?源码??ȫ
2.爆破专栏丨Spring Security系列教程之SpringSecurity中的密码加密
3.爆破专栏丨Spring Security系列教程之会话管理之处理会话过期
4.阿里Spring Security OAuth2.0认证授权笔记震撼开源！原理+实战+源码三飞！大全
5.SpringSecurity Oauth2Authentication对象使用
6.Spring Security 6.x 一文快速搞懂配置原理

securityԴ?源码??ȫ

       QQ群

       说明

       Spring Security5之后，实现Oauth不再推荐使用spring-security-oauth2。大全官方推荐了一种新的源码方法（github.com/spring-proje...）。

       需要注意的大全苹果开放源码是，该方式支持的源码不是oauth2，而是大全oauth2.1。关于oauth2.1的源码详细介绍，可以参考：oauth.net/2.1/ 和 aaronparecki.com//1...。大全

       摘自 oauth2.net 网站上对比 oauth2 的源码说明：

       主要区别（以下使用翻译软件翻译，大致意思没错）

       官方demo运行

       根据 github.com/spring-proje... 上的大全说明，使用 gradle 命令运行即可。源码

       复制官方代码（官网 userdetails 使用内存模式，大全我修改成了 jdbc，源码更加直观），使用 postman 进行测试。

       代码位置：authorization-server

       测试

       查看自动创建的表结构：

       浏览器访问：localhost:/h2-console...

       点击 Connect：

       我们看到创建了五张表，打开表会发现数据也被初始化进去了。

       启动项目，请求授权码模式地址：

       输入用户名密码(user1, password):

       勾选授权 scope，点击 submit consent 按钮：

       地址栏：baidu.com/?...

       授权码 code=dPEZCnsiz2WPk5mWdnPImxbSQkbwK7-yPKmgJuR2NHbswtbXWZFjgZr6MEXfIqi8JhRourmlSSYVVfGuCN-ep8jbQwxHsqrUVeeY-1XRHkpqaQ2UM9-ulbTsU0mg

       打开 postman 通过该 code 获取 access_token:

       点击 send，返回：

       JSON 数据如下：

       刷新 token

       请求后结果：

       JSON 数据是：

       简化模式（response_type=token）在 oauth2.1 被移除。

       返回结果如图：

       JSON 结果：

       之前以为是 bug，就提了 issue（github.com/spring-proje...），官方回复不支持。

       但是支付宝余额源码有扩展方式。还没弄。具体可看我提出的 issue 的作者回复。

       官方使用的是 in-memory 方式。本人通过查看源码发现还支持 jdbc 方式，redis 方式不支持。之后会根据 demo 修改一版 jdbc 方式，以及动态查询用户名密码的方式。

       spring-security-oauth2 的实现方式，可查看我之前的笔记 知乎：zhuanlan.zhihu.com/p/... github 源码：github.com/xpp/spr... 本文内容 github 地址是：github.com/xpp/spri...

       梦想越是美丽，就越是显得遥不可及。可奇怪的是，一旦你下定了决心，很快地，那些梦想就一一成为了现实！

爆破专栏丨Spring Security系列教程之SpringSecurity中的密码加密

       前言

       本文将带您深入Spring Security密码加密机制的学习。Spring Security作为安全框架，自然包含密码加密内容。本篇将详细解释密码加密原理、Spring Security中的处理方案，特别是BCryptPasswordEncoder的应用。此外，还会指导您如何使用BCryptPasswordEncoder进行加密，以及实现多密码加密方案共存。

       一. 密码加密简介

       散列加密概述：密码加密常采用的信息摘要算法，包括MD5、SHA系列等，浏览器查看源码将数据压缩成固定长度的字符串。

       散列加密原理：通过压缩和混淆数据生成唯一指纹，确保数据安全。

       盐的作用：为增加安全性，密码加密时加入随机盐值，确保即使明文相同，生成的密文也不同。

       Spring Security密码处理：支持BCryptPasswordEncoder等方案，确保密码安全。

       二. 利用BCryptPasswordEncoder进行加密

       编写接口、配置加密算法、测试运行，实现密码加密。

       1. 编写register接口

       在UserController中添加register接口，对密码进行加密，注入PasswordEncoder对象。

       2. 配置密码加密算法

       在Security Config类中，配置使用BCryptPasswordEncoder，放行注册接口。

       3. 测试运行

       启动项目，测试/user/register接口，验证密码加密效果。

       4. BCryptPasswordEncoder加解密原理

       BCrypt随机生成盐值，确保密码明文相同，密文也不同。比对密码时，p2p网贷系统 源码先提取盐值，再加密明文，最后对比生成的密文。

       三. 利用其他Encoder进行加密实现

       1. MessageDigestPasswordEncoder用法

       使用MessageDigestPasswordEncoder实现，支持MD5、SHA等算法，配置时需指定算法名称。

       2. DelegatingPasswordEncoder用法

       利用DelegatingPasswordEncoder实现密码加密方案的动态切换，支持多种加密方式。

       四. 源码解析

       了解PasswordEncoder接口、默认实现BCryptPasswordEncoder、密码比对原理。

       1. PasswordEncoder接口解读

       接口定义密码加密和比对方法，实现密码安全。

       2. matches()默认执行时机

       自动调用matches方法进行密码比对，无需手动编码。

       五. 实现多密码加密方案共存

       1. 需求背景

       项目改造时，需要更新密码加密方案，但不希望用户重新注册。

       2. 实现过程

       配置DelegatingPasswordEncoder，定义测试接口，测试共存效果。

       3. 多密码方案并存实现原理

       Spring Security通过配置不同PasswordEncoder实现密码加密方案的灵活管理。

爆破专栏丨Spring Security系列教程之会话管理之处理会话过期

       前言

       在上一章节中，一一哥给大家讲解了HTTP协议、会话、母婴 源码URL重新、会话固定攻击等概念，并且实现了对会话固定攻击的防御拦截。

       在Spring Security中，其实除了可以对会话固定攻击进行拦截之外，还可以对会话过期进行处理，也就是会话可能会过期，过期了该怎么处理。接下来请各位跟着壹哥继续学习，看看会话过期时到底怎么处理的吧。

       一. 会话过期

       1. 会话过期概念

       在处理会话过期之前，我们首先得知道啥是会话过期。

       所谓的会话过期，是指当用户登录网站后，较长一段时间没有与服务器进行交互，将会导致服务器上的用户会话数据(即session)被销毁。此时，当用户再次操作网页时，如果服务器进行了session校验，那么浏览器将会提醒用户session超时，导致这个问题的关键词有两个：一个是「长时间」，一个是「未操作」。

       2. Session的超时时间

       既然会话会过期，就得有个过期时间，默认情况下，Session的过期时间是分钟，当然我们可以在yml配置文件手动修改会话的过期时间。

       另外会话的过期时间最少为1分钟，即便我们设置为小于秒，也会被修正为1分钟，在Spring Boot的Tomcat Servlet Web Server Factory类中，对此有默认实现，源码如下：

       3. 会话过期时的处理策略

       你可能会问，万一会话过期了怎么办呢？别担心！

       默认情况下，在会话过期时，Spring Security为我们提供了2种处理策略：

       二. 会话过期时的处理策略(一)

       在上面的章节中，我给大家介绍了在会话过期时，Spring Security给我们提供了2种处理策略，我们先学习第一种处理策略，即当会话过期时跳转到某个指定的URL，接下来请看代码实现。

       1. 配置会话过期时间

       为了方便验证测试，我们先把会话的过期时间设置为秒，这样会话在很短时间内就可以过期。

       2. 定义测试接口

       接下来我们定义几个测试接口，并且定义一个用来处理会话过期的接口“/session/invalid”。

       3. 配置跳转到某个URL

       我们还是在之前的SecurityConfig类中，进行会话过期效果的配置实现，主要是利用invalidSessionUrl()方法来实现。

       4. 启动测试

       我们把项目重启，然后访问/user/hello接口，在我们登陆认证成功后就可以正常访问/user/hello接口。

       这时候如果我们把当前窗口页面关闭，经过秒后，会话就会过期，等再次访问/user/hello接口，就可以看到如下效果，即跳转到了我们指定的会话过期界面。

       三. 会话过期时的处理策略(二)

       我在上面说了，会话过期之后的处理策略，除了上面跳转到指定的URL方案之外，我们还可以自定义会话过期策略，其代码如下。

       1. 自定义MyInvalidSessionStrategy类

       我们创建一个My Invalid Session Strategy类，实现Invalid Session Strategy接口，在这里进行会话过期时的处理逻辑。

       2. 配置自定义过期策略

       接下来我们把上面定义的MyInvalidSessionStrategy类，通过invalidSessionStrategy()方法，设置自定义的会话过期策略。

       至此，壹哥就带各位实现了在会话过期时的代码处理方案了，你学会了吗？

       更多精彩内容关注下方

阿里Spring Security OAuth2.0认证授权笔记震撼开源！原理+实战+源码三飞！

       Spring Security是一款强大的企业级安全框架，它作为Spring生态系统的组成部分，为Spring应用提供声明式安全访问控制。在Spring Boot项目中，集成Spring Security能够简化安全控制代码编写，减少重复工作。

       在移动互联网时代，微信等应用的认证过程是用户身份验证的典型例子。认证是指确认用户身份是否合法，例如通过账号密码、二维码或指纹等方式。OAuth2.0作为OAuth协议的升级版本，允许用户授权第三方应用访问其存储信息，无需分享用户名和密码，提供了一种安全的授权协议。

       针对Spring Security的学习资料相对较少，本文档将提供两部分深入讲解：首先，通过XML配置在SSM环境中，从源码解析，详解Spring Security的认证、授权（包括“记住我”和CSRF拦截）功能。其次，在Spring Boot中，深入探讨分布式环境下的认证与授权实现。

       第一份笔记：

       基本概念

       基于Session的认证

       快速上手Spring Security

       应用详解

       分布式系统认证方案

       OAuth2.0介绍

       分布式系统授权实现

       企业开发首选的Spring Security笔记：

       初识Spring Security

       授权操作

       集中式Spring Security与SpringBoot整合

       OAuth2.0实战案例

       需要完整文档和源码的朋友，可通过此链接获取：[点击获取链接]

SpringSecurity Oauth2Authentication对象使用

        在调用资源服务器的过程中，我们会将申请的token 作为header值进行传递，携带调用者的身份信息。但是资源服务器是如何通过token对调用者的身份进行判断的呢？

        Security中有一个Filter实现了对token信息的转换，将token值转换成了调用者的用户信息。该filter就是 Oauth2AuthenticationProcessingFilter

        一、查看源码

        查看Oauth2AuthenticationProcessingFilter的doFilter方法

        通过查看Oauth2AuthenticationProcessingFilter的dofilter方法，重点有两点

        （1）将request中的token提取出来封装成Authentication对象

        （2）将Authentication交给authenticationManager进行鉴权处理

        下面我们重点看下这两处的处理。

        二、token到Authentication对象转换实现

        Authentication authentication = tokenExtractor.extract(request);

        tokenExtractor在Oauth2AuthencationProcessingFilter中的默认实现是BearerTokenExtractor，我们查看BearerTokenExtractor的extract()方法。

        三、Authentication对象的鉴权

        Authentication authResult = authenticationManager.authenticate(authentication);

        此处的authenticationManager的实现类是Oauth2AuthenticationManager，而不是我们之前一直提到的ProvicerManager。我们看下Oauth2AuthenticationManager中的authenticate()方法。

        RemoteTokenService 的 loadAuthentication() 方法

        用户认证转换类

        * 接口层注入的 OAuth2Authentication对象中的 principal属性即在该类的extractAuthentication() 方法中实现的。

        * security默认使用的是 DefaultAccessTokenConverter类中的extractAuthentication()方法中使用。

        * 通过继承UserAuthenticationConverter该类，实现其中的extractAuthentication()方法来满足我们自己构造 principal属性的需求。

        * 在ResourceConfig类中，继续使用DefaultAccessTokenConverter,但是类中的UserAuthenticationConverter我们里换成我们自己的CustomUserAuthenticationConverter实现类。

        *

        * 我们构造的principal属性是map类，里面包含phone和userId两个字段。

Spring Security 6.x 一文快速搞懂配置原理

       Spring Security 6.x的配置原理易于理解。核心就是一系列Filter（javax.servlet.Filter）组成的过滤器链，它们采用职责链设计模式串联，尽管初次接触可能让人眼花缭乱。首要任务是掌握配置，而非每个Filter的细节。新手在看到官方配置示例，特别是http.build()方法时，可能会感到困惑。本文将深入解析配置过程，以帮助理解。

       6.2.3版本的代码结构与5.7以上版本相似，主要变化在于配置部分。HttpSecurity的配置主要包括向SecurityFilterChain中添加不同功能的Filter对象。首先，我们要理解几个关键接口和类的作用，它们共同构建了配置流程。

       在AbstractConfiguredSecurityBuilder类中，doBuild方法是核心，分为多个步骤。它维护一个Map，存储SecurityConfigure实现类，配置过程中会遍历并调用这些类的configure方法，将Filter添加到FilterChain中。这些SecurityConfigure实例通过HttpSecurityConfiguration的构造过程添加到Map中，用户只需少量配置，就能构建出基本功能的SecurityFilterChain。

       默认情况下，HttpSecurity会加载个Filter。如果不进行自定义，得到的SecurityFilterChain结构会是怎样的，稍后会详细分析。此外，Spring Security提供了个Filter相关Configurer，供开发者定制开发。

       以官方文档示例代码为线索，我们可以看到配置的简洁优雅。例如，通过lambda表达式实现授权控制，或者使用Customizer参数配置。这些配置逻辑将复杂性封装，开发者只需关注业务逻辑。例如，AuthorizeHttpRequestsConfigurer负责配置权限拦截逻辑，而formLogin则创建UsernamePasswordAuthenticationFilter，用于处理用户名密码认证。

       总结来说，配置Filter的过程并不复杂，通过研究源码中configure方法，理解其配置项和能力，可以快速实现定制需求。Spring Security的过滤器链构建过程如上所述，理解了这个框架，配置起来就会更加得心应手。