Spring Security

"Spring Security：守护应用安全的强大盾牌！作为应用层安全框架，它通过统一配置简化开发，避免代码混乱核心包org.springframeworksecurity.coreuserdetails提供用户管理基础，InMemoryUserDetailsManager等实现灵活接口设计从入门到实战，涵盖OAuth 2、OpenID Connect、HTTPS配置等关键场景，深度解析认证授权架构原理（如ssiach2ex1案例）无论是理解安全现状、接口设计，还是覆盖默认配置，它都直面‘为何软件安全至关重要’的命题，为开发者提供从理论到实践的全套解决方案。"

Spring Security实战

• Spring Security入门
  • 安全现状
    • 开发应用程序需要考虑的问题
      • 解决业务问题
      • 非功能性软件质量
        • 性能
        • 可扩展性
        • 可用性
        • ⭐安全性
    • 什么是 Spring Security 以及它能为你解决哪些问题
      • 什么是Spring Security
        • 一个功能强大且高度可定制的身份认证与访问控制框架。
        • 实现身份认证、授权以及防护常见攻击
      • Spring Security的职责
        • 应用层安全 判断某个人是否有权限执行某个操作或访问某些数据
        • 数据存储 应用加密或哈希算法 数据编码确保只有有权限的实体才能访问这些数据。
        • 系统各部分之间的数据传输
    • 什么是软件安全 软件应用的安全性意味着什么
      • 系统安全应分层实现， 每一层都需要采用不同的安全措施和最佳实践。
        • 应用层
          • Spring Security 是一个属于应用层安全的框架。
          • 确保敏感数据不会被未经授权访问、篡改或拦截。
            • 身份认证
            • 授权
          • 必须妥善管理其内部内存
            • 类的设计允许应用长时间保存敏感数据，比如凭证或私钥。在这种情况下，如果有人有权限生成堆转储，就有可能发现这些敏感信息，并加以恶意利用。
          • 一个应用程序如果存在漏洞，可能会被恶意人员利用，从而影响整个系统的安全！
        • 存储方面
          • 将数据用私钥加密或进行哈希处理
          • 专门的密钥管理系统
        • 网络方面
        • 部署等方面
    • 为什么软件安全至关重要 以及你为什么需要关注这一点
      • 通常，遭受攻击所带来的损失远高于前期投入以防止漏洞的成本。
      • 金钱损失
      • 失去品牌或公司的形象 用户对你应用的信任是最宝贵的资产之一 这往往决定了你的产品是成功还是失败。
      • 国防相关系统的安全问题
      • 医疗系统
      • ...
  • Spring Security入门
    • ssia-ch2-ex1 入门案例
      • 完全使用Spring Boot默认配置
        • 导入依赖
          • spring-boot-starter-web
          • spring-boot-starter-security
        • 创建一个接口
          • 
        • 测试
          • 默认用户名为：user 每次运行该应用程序时，都会生成一个新密码， 并在控制台中打印出来
            • 
          • 默认认证机制1：通过 HTTP Basic 认证为这个接口提供安全保护
            • curl -u user:93a01cf0-794b-4b98-86ef-54860f36f7f3 http://localhost:8080/hello -u指定会自动将内容就行Base64，并放于Authorization请求头中 等价于 curl -H "Authorization: Basic dXNlcjo5M2EwMWNmMC03OTRiLTRiOTgtODZlZi01NDg2MGYzNmY3ZjM=" localhost:8080/hello
          • 默认认证机制2：表单登录
    • ⭐⭐⭐ Spring Security类设计的整体架构 认证和授权方面的架构原理
      • 
      • 认证过滤器（authentication filter）
      • 认证管理器（authentication manager）
      • 认证提供者（authentication provider）
      • 用户详情服务（user details service） UserDetailsService
        • 管理用户的详细信息
        • 默认实现
          • 
      • 密码编码器（password encoder） PasswordEncoder
        • 对密码进行编码（通常使用加密或哈希算法）
        • 验证密码是否与已有的编码匹配
        • 默认实现
          • 
      • 用户凭证 UserDetails
        • org.springframework.security.core.userdetails 包
        • 包含用户名、密码、权限
      • Customizer接口
        • 可以通过实现它来定义对 Spring Security 各个元素的自定义配置，比如认证、授权，或者特定的安全机制
    • Spring Boot开启Https
      • 将 certificate.p12 文件复制到 Spring Boot 项目的 resources 目录下
      • 配置文件
        • 
      • cURL调用时，可以使用 -k 选项来跳过证书真实性校验
    • 覆盖默认配置
      • 自定义认证和鉴权
        • 使用InMemoryUserDetailsManager 自定义UserDetailsService
          • 并不适用于生产环境
          • 将用户凭据存储在内存中 Spring Security 随后可以利用这些信息来对请求进行身份验证。
          • InMemoryUserDetailsManager 它不仅仅是一个 UserDetailsService
            • 
          • 需要声明一个 PasswordEncoder 在使用默认的 UserDetailsService 时，PasswordEncoder 也会被自动配置。但由于我们重写了 UserDetailsService，因此还需要手动声明一个 PasswordEncoder。
        • 在端点级别实施授权
          • 在早期的 Spring Security 版本中，你可以通过链式调用语法直接应用配置，而无需使用 Customizer 对象
            • 
          • 在早期版本的 Spring Security 中，安全配置类需要继承一个名为 WebSecurityConfigurerAdapter 的类。现在我们已经不再采用这种做法。
        • 方式一
          • ssia-ch2-ex2 通过在 Spring 上下文中添加新的实现类作为 Bean， 重写 UserDetailsService 和 PasswordEncoder。
            • 引入依赖
            • 创建测试接口
            • 编写配置类
              • 
              • 将该用户添加到我们实现的 UserDetailsService 中进行管理
                • 创建一个拥有用户名和密码凭证的用户
              • 定义一个 PasswordEncoder 类型的 Bean，供我们的应用用来校验输入的密码与 UserDetailsService 存储和管理的密码是否一致。
              • 定义一个 SecurityFilterChain 类型的 bean
                • 指定认证方式（比如Http Basic认证、表单认证）
                • 编写鉴权逻辑
        • 方式二
          • ssia-ch2-ex3 直接通过 SecurityFilterChain bean 来 同时设置 UserDetailsService 和 PasswordEncoder
            • 引入依赖
            • 创建测试接口
            • 编写配置类
              • 
              • 定义一个 SecurityFilterChain 类型的 bean
                • 指定认证方式（比如Http Basic认证、表单认证）
                • 编写鉴权逻辑
                • 指定UserDetailsService
              • 定义PasswordEncoder Bean
        • 建议使用统一的方式进行配置， 否则会让代码变得难以理解
      • 自定义认证逻辑 AuthenticationProvider
        • 自定义AuthenticationProvider后，不再需要 UserDetailsService 或 PasswordEncoder。
        • ssia-ch2-ex4 自定义AuthenticationProvider
          • 引入依赖
          • 创建测试接口
          • 自定义AuthenticationProvider
            • 
          • 注册 AuthenticationProvider
            • 
      • 使用多个配置类
        • ssia-ch2-ex5 将用户管理配置和授权配置分离开来
          • 引入依赖
          • 创建测试接口
          • UserManagementConfig配置类
            • 
          • WebAuthorizationConfig配置类
            • 
• 配置身份认证
  • 用户管理
    • 主要接口概述
      • UserDetailsService 用户详情服务
      • UserDetails 用于描述Spring Security中的用户信息。
      • GrantedAuthority 用于定义用户可以执行的操作权限。
      • UserDetailsManager 继承自UserDetailsService契约，除了继承的行为外，还包括创建用户、修改或删除用户密码等操作。
        • InMemoryUserDetailsManager就是实现了UserDetailsManager接口 而不是直接实现UserDetailsService
• 配置授权
• 实施OAuth 2和OpenID Connect