28. 安全

如果添加了Spring Security的依赖,那么web应用默认对所有的HTTP路径(也称为终点,端点,表示API的具体网址)使用'basic'认证。为了给web应用添加方法级别(method-level)的保护,你可以添加@EnableGlobalMethodSecurity并使用想要的设置,其他信息参考Spring Security Reference

默认的AuthenticationManager只有一个用户('user'的用户名和随机密码会在应用启动时以INFO日志级别打印出来),如下:

Using default security password: 78fa095d-3f4c-48b1-ad50-e24c31d5cf35

如果你对日志配置进行微调,确保org.springframework.boot.autoconfigure.security类别记录日志级别为INFO,否则默认的密码不会打印出来。

你可以通过设置security.user.password改变默认密码,这些和其他有用的属性通过SecurityProperties(以"security"为前缀的属性)被外部化了。

默认的安全配置是通过SecurityAutoConfigurationSpringBootWebSecurityConfiguration(用于web安全),AuthenticationManagerConfiguration(可用于非web应用的认证配置)进行管理的。你可以添加一个@EnableWebSecurity bean来彻底关掉Spring Boot的默认配置。为了对它进行自定义,你需要使用外部的属性配置和WebSecurityConfigurerAdapter类型的beans(比如,添加基于表单的登陆)。 想要关闭认证管理的配置,你可以添加一个AuthenticationManager类型的bean,或在@Configuration类的某个方法里注入AuthenticationManagerBuilder来配置全局的AuthenticationManager。这里有一些安全相关的Spring Boot应用示例可以拿来参考。

在web应用中你能得到的开箱即用的基本特性如下:

  1. 一个使用内存存储的AuthenticationManager bean和一个用户(查看SecurityProperties.User获取user的属性)。
  2. 忽略(不保护)常见的静态资源路径(/css/**, /js/**, /images/**/webjars/****/favicon.ico)。
  3. 对其他所有路径实施HTTP Basic安全保护。
  4. 安全相关的事件会发布到Spring的ApplicationEventPublisher(成功和失败的认证,拒绝访问)。
  5. Spring Security提供的常见底层特性(HSTS, XSS, CSRF, 缓存)默认都被开启。

上述所有特性都能通过外部配置(security.*)打开,关闭,或修改。想要覆盖访问规则而不改变其他自动配置的特性,你可以添加一个注解@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)WebSecurityConfigurerAdapter类型的@Bean

WebSecurityConfigurerAdapter默认会匹配所有路径,如果不想完全覆盖Spring Boot自动配置的访问规则,你可以精确的配置想要覆盖的路径。

results matching ""

    No results matching ""