Spring Security

Якщо Spring Security знаходиться в classpath, то вебдодатки за замовчуванням захищені. Spring Boot покладається на стратегію узгодження вмісту Spring Security, щоб визначити, чи використовувати httpBasic або formLogin. Також можна додати анотацію @EnableGlobalMethodSecurity з бажаними налаштуваннями, щоб впровадити засоби безпеки на рівні методів у вебдодаток.

UserDetailsService за замовчуванням надається для одного користувача. Ім'я користувача — user, а пароль — випадковий і виводиться на рівні WARN при запуску програми, як показано в наступному прикладі:

Using generated security password: 78fa095d-3f4c-48b1-ad50-e24c31d5cf35
Це генерований password is for development use only. This generated password is for development use only. Your security configuration must be updated before running your application in production.

Можна змінити ім'я користувача та пароль, вказавши spring.security.user.name та spring.security.user.password.

Основні функції, які тобі доступні за замовчуванням у вебдодатку, такі:

• Бін UserDetailsService (або ReactiveUserDetailsService у разі застосування на WebFlux) зі сховищем у пам'яті та одним користувачем зі згенерованим паролем (властивості користувача див. SecurityProperties.User).

• Вхід до системи за допомогою форм або захист за допомогою HTTP Basic (залежно від заголовка Accept у запиті) для всієї програми (включно з кінцевими точками актуатора, якщо актуатор знаходиться в classpath).

• DefaultAuthenticationEventPublisher для публікації подій автентифікації.

Ти можеш передати інший AuthenticationEventPublisher, додавши для нього бін.

Засоби безпеки для MVC

Конфігурація засобів безпеки за замовчуванням реалізована в SecurityAutoConfiguration та UserDetailsServiceAutoConfiguration. SecurityAutoConfiguration імпортує SpringBootWebSecurityConfiguration для забезпечення веббезпеки, а UserDetailsServiceAutoConfiguration конфігурує автентифікацію, що також є актуальним для не пов'язаних з вебдодатків. Щоб повністю відключити стандартну конфігурацію засобів безпеки вебдодатка або об'єднати кілька компонентів Spring Security, таких як клієнт та сервер ресурсів OAuth2, додай бін типу SecurityFilterChain (при цьому конфігурація UserDetailsService або засоби безпеки для Actuator не будуть відключені).

Щоб, крім іншого, відключити конфігурацію UserDetailsService, можна додати бін типу UserDetailsService, AuthenticationProvider або AuthenticationManager.

Правила доступу можна перевизначати шляхом додавання біна користувача SecurityFilterChain або WebSecurityConfigurerAdapter. Spring Boot передбачає допоміжні методи, які можна використовувати для визначення правил доступу для кінцевих точок актуаторів і статичних ресурсів. EndpointRequest можна використовувати для створення RequestMatcher, що ґрунтується на властивості management.endpoints.web.base-path. PathRequest можна використовувати, щоб створити RequestMatcher для ресурсів, що знаходяться в місцях, які часто використовуються.

Безпека в WebFlux

Подобно додаткам Spring MVC можна захистити свої програми WebFlux, додавши залежність spring-boot-starter-security. Конфігурація засобів безпеки за замовчуванням реалізована в ReactiveSecurityAutoConfiguration та UserDetailsServiceAutoConfiguration. ReactiveSecurityAutoConfiguration імпортує WebFluxSecurityConfiguration для забезпечення веббезпеки, а UserDetailsServiceAutoConfiguration конфігурує автентифікацію, що також є актуальним для програм, не пов'язаних з веб. Щоб повністю відключити стандартну конфігурацію засобів безпеки вебдодатку, можна додати бін типу WebFilterChainProxy (при цьому конфігурація UserDetailsService або засоби безпеки для Actuator не відключаються).

Щоб також вимкнути конфігурацію UserDetailsService, можна додати бін типу ReactiveUserDetailsService або ReactiveAuthenticationManager.

Правила доступу та використання декількох компонентів Spring Security, такі як клієнт та сервер ресурсів OAuth 2, можна налаштувати шляхом додавання кастомного біну SecurityWebFilterChain. Spring Boot передбачає допоміжні методи, які можна використовувати для визначення правил доступу для кінцевих точок актуаторів і статичних ресурсів. EndpointRequest можна використовувати для створення ServerWebExchangeMatcher, який базується на властивості management.endpoints.web.base-path.

PathRequest можна використовувати, щоб створити ServerWebExchangeMatcher для ресурсів, що знаходяться в місцях, які часто використовуються.

Наприклад, можна налаштувати конфігурацію засобів безпеки, додавши щось на зразок:

import org.springframework.boot.autoconfigure.security.reactive.PathRequest;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.web.server.ServerHttpSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;
import static org.springframework.security.config.Customizer.withDefaults;
@Configuration(proxyBeanMethods = false)
public class MyWebFluxSecurityConfiguration {
    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        http.authorizeExchange((exchange) -> {
            exchange.matchers(PathRequest.toStaticResources().atCommonLocations()).permitAll();
            exchange.pathMatchers("/foo", "/bar").authenticated();
        });
        http.formLogin(withDefaults());
        return http.build();
    }
}

import org.springframework.boot.autoconfigure.security.reactive.PathRequest
import org.springframework.context.annotation.Bean
import org.springframework.context.annotation.Configuration
import org.springframework.security.config.web.server.ServerHttpSecurity
import org.springframework.security.web.server.SecurityWebFilterChain
@Configuration(proxyBeanMethods = false)
class MyWebFluxSecurityConfiguration {
    @Bean
    fun springSecurityFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
        http.authorizeExchange { spec ->
            spec.matchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()
            spec.pathMatchers("/foo", "/bar").authenticated()
        }
        http.formLogin()
        return http.build()
    }
}

spring.security.oauth2.client.registration.my-client-1.client-id=abcd
spring.security.oauth2.client.registration.my-client-1.client-secret=password
spring.security.oauth2.client.registration.my-client-1.client-name=Client for user scope
spring.security.oauth2.client.registration.my-client-1.provider=my-oauth-provider
spring.security.oauth2.client.registration.my-client-1.scope=user
spring.security.oauth2.client.registration.my-client-1.redirect-uri=https://my-redirect-uri.com
spring.security.oauth2.client.registration.my-client-1.client-authentication-method=basic
spring.security.oauth2.client.registration.my-client-1.authorization-grant-type=authorization-code
spring.security.oauth2.client.registration.my-client-2.client-id=abcd
spring.security.oauth2.client.registration.my-client-2.client-secret=password
spring.security.oauth2.client.registration.my-client-2.client-name=Client for email scope
spring.security.oauth2.client.registration.my-client-2.provider=my-oauth-provider
spring.security.oauth2.client.registration.my-client-2.scope=email
spring.security.oauth2.client.registration.my-client-2.redirect-uri=https://my-redirect-uri.com
spring.security.oauth2.client.registration.my-client-2.client-authentication-method=basic
spring.security.oauth2.client.registration.my-client-2.authorization-grant-type=authorization_code
spring.security.oauth2.client.provider.my-oauth-provider.authorization-uri=https://my-auth-server/oauth/authorize
spring.security.oauth2.client.provider.my-oauth-provider.token-uri=https://my-auth-server/oauth/token
spring.security.oauth2.client.provider.my-oauth-provider.user-info-uri=https://my-auth-server/userinfo
spring.security.oauth2.client.provider.my-oauth-provider.user-info-authentication-method=header
spring.security.oauth2.client.provider.my-oauth-provider.jwk-set-uri=https://my-auth-server/token_keys
spring.security.oauth2.client.provider.my-oauth-provider.user-name-attribute=name

security:
  oauth2:
    client:
      registration:
        my-client-1:
          client-id: "abcd"
          client-secret: "password"
          client-name: "Client for user scope"
          provider: "my-oauth-provider"
          scope: "user"
          redirect-uri: "https://my-redirect-uri.com"
          client-authentication-method: "basic"
          authorization-grant-type: "authorization-code"
        my-client-2:
          client-id: "abcd"
          client-secret: "password"
          client-name: "Client for email scope"
          provider: "my-oauth-provider"
          scope: "email"
          redirect-uri: "https://my-redirect-uri.com"
          client-authentication-method: "basic"
          authorization-grant-type: "authorization_code"
      provider:
        my-oauth-provider:
          authorization-uri: "https://my-auth-server/oauth/authorize"
          token-uri: "https://my-auth-server/oauth/token"
          user-info-uri: "https://my-auth-server/userinfo"
          user-info-authentication-method: "header"
          jwk-set-uri: "https://my-auth-server/token_keys"
          user-name-attribute: "name"

spring.security.oauth2.client.provider.oidc-provider.issuer-uri=https://dev-123456.oktapreview.com/oauth2/default/

spring:
  security:
    oauth2:
      client:
        provider:
          oidc-provider:
            issuer-uri: "https://dev-123456.oktapreview.com/oauth2/default/"

import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.web.SecurityFilterChain; @Configuration(proxyBeanMethods = false) public class MyOAuthClientConfiguration { @Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http.authorizeRequests((requests) -> requests.anyRequest().authenticated()); http.oauth2Login((login) -> login.redirectionEndpoint().baseUri("custom-callback")); return http.build(); } }

import org.springframework.context.annotation.Bean
import org.springframework.context.annotation.Configuration
import org.springframework.security.config.annotation.web.builders.HttpSecurity
import org.springframework.security.web.SecurityFilterChain
@Configuration(proxyBeanMethods = false)
class MyOAuthClientConfiguration {
    @Bean
    fun securityFilterChain(http: HttpSecurity): SecurityFilterChain {
        http.authorizeRequests().anyRequest().authenticated()
        http.oauth2Login().redirectionEndpoint().baseUri("custom-callback")
        return http.build()
    }
}

spring.security.oauth2.client.registration.my-client.client-id=abcd
spring.security.oauth2.client.registration.my-client.client-secret=password
spring.security.oauth2.client.registration.my-client.provider=google
spring.security.oauth2.client.registration.google.client-id=abcd
spring.security.oauth2.client.registration.google.client-secret=password

spring:
  security:
    oauth2:
      client:
        registration:
          my-client:
            client-id: "abcd"
            client-secret: "password"
            provider: "google"
          google:
            client-id: "abcd"
            client-secret: "password"

spring. security.oauth2.resourceserver.jwt.jwk-set-uri=https://example.com/oauth2/default/v1/keys

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          jwk-set-uri: "https://example.com/oauth2/default/v1/keys"

spring.security.oauth2.resourceserver. jwt.issuer-uri=https://dev-123456.oktapreview.com/oauth2/default/

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: "https://dev-123456.oktapreview.com/oauth2/default/"

spring.security.oauth2.resourceserver.opaquetoken.introspection-uri=https://example.com/check-token
spring.security.oauth2.resourceserver.opaquetoken.client-id=my-client-id
spring.security.oauth2.resourceserver.opaquetoken.client-secret=my-client-secret

spring:
  security:
    oauth2:
      resourceserver:
        opaquetoken:
          introspection-uri: "https://example.com/check-token"
          client-id: "my-client-id"
          client-secret: "my-client-secret"