Spring Security FAQ

Spring Security 为你的身份验证和授权需求提供了一个灵活的框架，但还有许多其他考虑因素在构建安全应用程序时超出其范围。Web 应用程序容易受到各种攻击，你应该熟悉这些攻击，最好在开始开发之前，以便你可以从一开始就考虑它们进行设计和编码。查看 OWASP website ，了解 Web 应用程序开发人员面临的主要问题以及你可以针对这些问题采取的对策。

假设您正在基于 Spring 开发企业应用程序。您通常需要解决四个安全问题：身份验证、Web 请求安全、服务层安全（实现业务逻辑的方法）和域对象实例安全（不同的域对象可以具有不同的权限）。考虑到这些典型要求，我们有以下注意事项：

对于简单的应用程序，servlet 规范安全性可能就足够了。尽管在 Web 容器可移植性、配置要求、受限的 Web 请求安全性灵活性和不存在的服务层和域对象实例安全性的情况下，很明显，为什么开发人员经常寻找替代解决方案。

Spring Security 3.0 和 3.1 至少需要 JDK 1.5，并且至少需要 Spring 3.0.3。理想情况下，您应该使用最新版本以避免出现问题。

Spring Security 2.0.x 至少需要 JDK 版本 1.4，并且针对 Spring 2.0.x 构建。它还应与使用 Spring 2.5.x 的应用程序兼容。

这意味着身份验证失败。它没有说明原因，因为它是一种避免提供可能帮助攻击者猜出帐户名或密码的详细信息的良好做法。

这也意味着如果您在线提出此问题，除非提供其他信息，否则不应期望得到答复。与任何问题一样，您应该检查调试日志的输出并注意任何异常堆栈跟踪和相关消息。您应该在调试器中逐步检查代码以查看身份验证失败的位置以及原因。您还应该编写一个测试用例在应用程序外部演练您的身份验证配置。如果您使用哈希密码，请确保存储在数据库中的值与应用程序中配置的 PasswordEncoder 生成的值完全相同。

使用无限循环并重定向到登录页面时，会发生常见的用户问题，这个的原因是意外地配置了登录页面为“安全”资源。确保你的配置允许以匿名方式访问登录页面，可以通过从安全过滤器链中排除登录页面或标记为需要 ROLE_ANONYMOUS 来做到这一点。

如果你的 AccessDecisionManager 包含一个 AuthenticatedVoter，则可以使用 IS_AUTHENTICATED_ANONYMOUSLY 属性。如果你使用标准的命名空间配置设置，它会自动可用。

从 Spring Security 2.0.1 开始，当你使用基于命名空间的配置时，会在加载应用程序上下文时执行检查，如果你的登录页面似乎受到保护，则会记录一条警告消息。

这是一条调试级别消息，当匿名用户首次尝试访问受保护的资源时发生。

这是正常的，不应感到担心。

最常见的原因是你的浏览器已缓存该页面，你看到的是从浏览器缓存中检索的副本。通过检查浏览器是否实际发送请求（检查你的服务器访问日志和调试日志或使用合适的浏览器调试插件，例如为 Firefox 使用“Tamper Data”）来验证这一点。这与 Spring Security 无关，你应该配置应用程序或服务器来设置合适的 Cache-Control 响应标头。请注意，SSL 请求绝不会被缓存。

以下清单显示了匿名用户第一次尝试访问受保护时发生的另一个调试级别消息。然而，此清单展示了当过滤器链配置中没有 AnonymousAuthenticationFilter 时的处理。

这是正常的，不必为此感到担心。

请注意，LDAP 目录的权限通常不允许你读取用户的密码。因此，通常无法在 Spring Security 将存储的密码与用户提交的密码进行比较时使用 What is a UserDetailsService and do I need one? 。最常见的方法是使用 LDAP “bind” ，这是 the LDAP protocol 支持的操作之一。通过这种方法，Spring Security 通过尝试以用户身份对目录进行身份验证来验证密码。

LDAP 认证最常见的问题是对目录服务器树结构和配置缺乏了解。这在不同公司之间有所不同，所以你必须自己找出答案。在向应用程序添加 Spring Security LDAP 配置之前，你应该使用标准的 Java LDAP 代码（不涉及 Spring Security）编写一个简单的测试，并确保首先让它正常运行。例如，要对用户进行身份验证，可以使用以下代码：

会话管理问题是一个常见的问题来源。如果你正在开发 Java Web 应用程序，你应该了解会话是如何在 servlet 容器和用户的浏览器之间保持的。你应该还了解安全和非安全 cookie 之间的差异，以及使用 HTTP、HTTPS 和在这两者之间切换的影响。Spring Security 与维护会话或提供会话标识符无关。这完全由 servlet 容器处理。

浏览器通常为每个浏览器实例维护一个会话。你不能同时有两个独立的会话。因此，如果你在另一个窗口或标签中重新登录，你只是在同一会话中重新进行身份验证。因此，如果你在另一个窗口或标签中重新登录，你是在同一会话中重新进行身份验证。服务器不了解标签、窗口或浏览器实例。它看到的只是 HTTP 请求，并且根据它们包含的 JSESSIONID cookie 的值将这些请求绑定到特定会话。当用户在会话期间进行身份验证时，Spring Security 的并发会话控制检查他们有多少个其他经过身份验证的会话。如果他们已经使用相同的会话进行身份验证，则重新进行身份验证不会产生影响。

在默认配置中，Spring Security 会在用户进行身份验证时更改会话 ID。如果你使用 Servlet 3.1 或更新的容器，会话 ID 只会被更改。如果你使用较旧的容器，Spring Security 会使现有会话失效，创建一个新会话，并将会话数据传输到新会话。以这种方式更改会话标识符可以防止“会话固定”攻击。你可以在网上和参考手册中找到更多这方面的信息。

不起作用 - 我在认证后刚刚回到登录页面。

这是因为在 HTTPS 下创建的会话（其中会话 Cookie 被标记为 “secure” ）随后无法在 HTTP 下使用。浏览器不会将 Cookie 发送回服务器，任何会话状态（包括安全上下文信息）都将丢失。首先在 HTTP 中启动会话应该可以工作，因为会话 Cookie 未标记为安全。但是，Spring Security 的 Session Fixation Protection 会干扰此操作，因为它导致向用户的浏览器发送新的会话 ID Cookie，通常带有安全标志。为了解决这个问题，你可以禁用会话固定保护。但是，在较新的 Servlet 容器中，你还可以配置会话 Cookie 永远不使用安全标志。

会话的维护是通过交换会话 cookie 或将 jsessionid 参数添加到 URL 来进行的（如果你使用 JSTL 输出 URL，或者在你对 URL 调用 HttpServletResponse.encodeUrl（例如在重定向之前）），则会自动发生这种情况。如果客户端禁用了 cookie，并且你没有重写 URL 以包含 jsessionid，则会话会丢失。请注意，出于安全原因，建议使用 cookie，因为它不会在 URL 中暴露会话信息。

确保你在 web.xml 文件中添加了侦听器。确保在会话被销毁时通知 Spring Security 会话注册表至关重要。如果没有它，会话信息将不会从注册表中删除。以下示例在 web.xml 文件中添加一个侦听器：

这通常意味着用户的应用程序在某个地方创建了一个会话，但他们不知道它。最常见的罪魁祸首是 JSP。许多人不知道 JSP 默认创建会话。为了防止 JSP 创建会话，请在页面的顶部添加 <%@ page session="false" %> 指令。

如果你难以弄清楚会话是在哪里创建的，则可以添加一些调试代码来跟踪位置。实现此目的的一种方法是向应用程序添加一个 javax.servlet.http.HttpSessionListener，它在 sessionCreated 方法中调用 Thread.dumpStack()。

如果是 HTTP POST 则返回 HTTP 403 禁用错误，但对于 HTTP GET 则有效，问题很可能是与 CSRF 相关。提供 CSRF 令牌或禁用 CSRF 保护（不推荐后者）。

默认情况下，过滤器不会应用于转发或包含。如果你真的希望安全过滤器应用于转发或包含，则必须使用 <dispatcher> 元素（这是 <filter-mapping> 元素的子元素）在你自己的 web.xml 文件中明确配置这些过滤器。

在 Spring web 应用程序中，容纳调度程序servlet的 Spring MVC bean 的应用程序上下文通常独立于主应用程序上下文，它通常在名为 myapp-servlet.xml 的文件中定义，其中 myapp 是在 web.xml 文件中分配给 Spring DispatcherServlet 的名称。一个应用程序可以有多个 DispatcherServlet 实例，每个实例都有自己独立的应用程序上下文，这些“子代”上下文中的 bean 对应用程序的其他部分是不可见的。通过在 web.xml 文件中定义的 ContextLoaderListener 加载“父代”应用程序上下文，并且它对所有子代上下文可见，此父上下文通常是你定义安全配置（包括 <global-method-security> 元素）的位置，因此，应用于这些 Web bean 中的方法的任何安全约束都不会得到实施，因为从 DispatcherServlet 上下文无法看到这些 bean，你需要将 <global-method-security> 声明移到 Web 上下文或将你想要保护的 bean 移到主应用程序上下文中。

我们通常建议在服务层而不是各个 web 控制器上应用方法安全性。

为什么我看不到用户信息？

如果你已使用与 URL 模式匹配的 intercept-url 元素中的 filters='none' 属性将请求排除在安全过滤器链之外，那么 SecurityContextHolder 并未为此请求填充，查看调试日志以查看请求是否通过了过滤器链（你正在阅读调试日志，对吧？）。

使用 <sec:authorize> 中的 url 属性时，方法安全性不会隐藏链接，因为我们无法轻松逆向工程哪些 URL 映射到哪个控制器端点，我们的限制在于控制器可以依赖标头、当前用户和其他详细信息来确定要调用哪个方法。

查找类的最佳方式是在你的 IDE 中安装 Spring Security 源，该发行版包含项目划分的每个模块的源 jar，将这些添加到你的项目源路径，然后你可以直接导航到 Spring Security 类（在 Eclipse 中为 Ctrl-Shift-T），这也使得调试变得更容易，允许你通过直接查看引发异常的代码来进行故障排除，以查看那里发生了什么。

参考指南的命名空间附录中概述了命名空间创建的 bean。在 blog.springsource.com 上还有一篇名为“Spring Security 命名空间的背后”的详细博客文章。如果你想了解全部详细信息，Spring Security 3.0 发行版中的 spring-security-config 模块中包含此代码。你可能应该首先阅读 Spring Framework 参考文档中有关命名空间解析的章节。

Spring Security 具有基于投票者的架构，这意味着访问决策通过一系列 AccessDecisionVoter 实例来做的，投票者根据为受保护资源（如方法调用）指定“配置属性”进行投票，通过这种方法，并非所有属性都可能对所有投票者都相关，而且投票者需要知道何时应该忽略属性（弃权）以及何时应该基于属性值投票授予或拒绝访问，最常见的投票者是 RoleVoter，它在默认情况下每当找到具有 ROLE_ 前缀的属性时都会投票，它将属性（如 ROLE_USER）与分配给当前用户的权限名称进行简单的比较，如果找到匹配项（他们有一个称为 ROLE_USER 的权限），它会投票授予访问权限，否则，它会投票拒绝访问。

你可以通过设置 RoleVoter 的 rolePrefix 属性来更改前缀，如果你只需要在你的应用程序中使用角色，并且不需要其他自定义投票者，则可以将前缀设置为一个空字符串，在这种情况下，RoleVoter 将所有属性视为角色。

这取决于你使用什么功能以及你正在开发的应用程序类型，使用 Spring Security 3.0，项目 jar 被划分为清晰不同的功能区域，因此可以直接找出你的应用程序需求所需的 Spring Security jar，所有应用程序都需要 spring-security-core jar，如果你正在开发一个 web 应用程序，则需要 spring-security-web jar，如果你正在使用安全命名空间配置，则需要 spring-security-config jar，对于 LDAP 支持，你需要 spring-security-ldap jar，依此类推。

对于第三方 jar，情况并不总是那么明显，一个好的起点是从某个预构建的示例应用程序 WEB-INF/lib 目录中复制那些 jar，对于一个基本的应用程序，你可以从教程示例开始，对于一个基本应用程序，你可以从教程示例开始，如果你想要使用具有嵌入式测试服务器的 LDAP，则使用 LDAP 示例作为起点，参考手册还包括 appendix-namespace，其中列出了每个 Spring Security 模块的一级依赖项，并包含有关它们是可选的还是必需的的一些信息。

如果你使用 Maven 构建项目，那么将相应的 Spring Security 模块作为依赖项添加到你的 pom.xml 文件会自动提取框架所需的 core jar，任何在 Spring Security pom.xml 文件中标记为“optional”的 jar 都必须添加到你自己的 pom.xml 文件（如果你需要它们）。

如果你使用 Maven，则需要将以下内容添加到 pom.xml 文件依赖项：

其他必需的 jar 应该被传递地提取。

UserDetailsService 是用于加载特定于用户帐户的 DAO 接口，它没有其他功能，只是为框架内的其他组件加载数据，它不负责对用户进行身份验证，使用用户名和密码组合对用户进行身份验证通常由 DaoAuthenticationProvider 执行，其中注入了一个 UserDetailsService 以允许它为用户加载密码（和其他数据），以便与提交的值进行比较，请注意，如果你使用 LDAP，[这种方法可能不起作用，appendix-faq-ldap-authentication]。

如果你想自定义认证流程，则应该自己实现 AuthenticationProvider。请参阅 blog article 以获取一个将 Spring Security 认证与 Google App Engine 相集成的示例。

这个问题一再出现，因此您可以在线搜索以查找更多信息。

提交的登录信息由 UsernamePasswordAuthenticationFilter 实例处理。您需要自定义此类以处理额外的数据字段。一种方法是使用自己自定义的身份验证令牌类（而不是标准的 UsernamePasswordAuthenticationToken）。另一种方法是将额外字段与用户名连接（例如，使用 : 字符作为分隔符），然后将它们传递到 UsernamePasswordAuthenticationToken 的用户名属性中。

您还需要自定义实际的身份验证过程。例如，如果您使用自定义的身份验证令牌类，那么您将必须编写一个 AuthenticationProvider（或扩展标准的 DaoAuthenticationProvider）来处理它。如果您已连接各个字段，那么您可以实现自己的 UserDetailsService 以拆分这些字段并加载用于身份验证的适当用户数据。

您无法执行此操作，因为片段不会从浏览器传输到服务器。从服务器的角度来看，URL 是相同的。这是 GWT 用户的一个常见问题。

您无法执行此操作（不用求助于诸如线程局部变量之类的内容），因为提供给接口的唯一信息是用户名。不要实现 UserDetailsService，应该直接实现 AuthenticationProvider 并从提供的 Authentication 令牌中提取信息。

在标准的 Web 设置中，Authentication 对象上的 getDetails() 方法将返回 WebAuthenticationDetails 实例。如果您需要更多信息，可以将自定义 AuthenticationDetailsSource 注入您正在使用的身份验证过滤器中。如果您正在使用命名空间，例如使用 <form-login> 元素，那么您应该删除此元素，并用指向显式配置的 UsernamePasswordAuthenticationFilter 的 <custom-filter> 声明替换它。

您无法完成此操作，因为 UserDetailsService 不了解 servlet API。如果您要存储自定义用户数据，则应自定义返回的 UserDetails 对象。然后可以通过线程局部 SecurityContextHolder 随时进行访问。调用 SecurityContextHolder.getContext().getAuthentication().getPrincipal() 会返回此自定义对象。

如果您确实需要访问会话，则必须通过自定义 Web 层来执行此操作。

您不能（而且不应该，即使您找到了执行此操作的方法）。您可能误解了它的目的。请参见本文档前面《“什么是 UserDetailsService？”，附录常见问答 - 什么是 UserDetailsService》中的相关内容。

人们经常询问如何将受保护的 URL 与安全元数据属性之间的映射存储在数据库中，而不是存储在应用程序上下文中。

您应该首先问问自己是否真的需要这样做。如果应用程序需要安全，那么它还要求基于已定义的策略对安全性进行全面测试。在将其推广到生产环境中之前，可能需要进行审计和验收测试。注重安全性的组织应该意识到其严格的测试过程带来的好处可能因为改变配置数据库中的一两行而导致安全设置在运行时被修改而立即消失。如果您已考虑到这一点（也许通过在您的应用程序中使用多层安全），那么 Spring Security 会让您可以完全自定义安全元数据的来源。如果您选择，可以使其完全动态。

方法和 Web 安全性均受 AbstractSecurityInterceptor 的子类的保护，其配置了一个 SecurityMetadataSource，它从中获取特定方法或过滤器调用所需元数据。对于 Web 安全性，拦截器类是 FilterSecurityInterceptor，它使用 FilterInvocationSecurityMetadataSource 标记接口。它操作的“安全对象”类型是 FilterInvocation。默认实现（在命名空间 <http> 和显式配置拦截器时均使用）在内存映射中存储 URL 模式列表及其相对应的“配置属性”（ConfigAttribute 实例）列表。

要从备用来源加载数据，您必须使用显式声明的安全过滤器链（通常情况下是 Spring Security 的 FilterChainProxy）来自定义 FilterSecurityInterceptor Bean。您无法使用命名空间。然后，您将实现 FilterInvocationSecurityMetadataSource 来加载您想要用于特定 FilterInvocation 的数据。FilterInvocation 对象包含 HttpServletRequest，因此您可以基于其对返回的属性列表中包含的内容做出决策而获取 URL 或其他任何相关信息。基本提纲类似于以下示例：

有关更多信息，请查看 DefaultFilterInvocationSecurityMetadataSource 的代码。

LdapAuthenticationProvider bean（它处理 Spring Security 中的正常 LDAP 身份验证）配置了两个单独的策略接口，一个执行身份验证，另一个加载用户权限，它们分别称为 LdapAuthenticator 和 LdapAuthoritiesPopulator。DefaultLdapAuthoritiesPopulator 从 LDAP 目录中加载用户权限，并具有可用于指定如何检索这些用户权限的各种配置参数。

相反，要使用 JDBC，您可以使用适用于您架构的任何 SQL 自行实现接口：

然后，可以向应用程序上下文添加此类型的 bean，并将其注入到 LdapAuthenticationProvider 中。参考手册的 LDAP 章节中关于使用明确 Spring bean 配置 LDAP 的部分介绍了这一点。请注意，在这种情况下，不能将命名空间用于配置。你還應查閱 security-api-url[Javadoc]，以獲取相關的類別和介面。

命名空间功能是有意限定的，因此它不能涵盖你可以用纯 bean 做的所有事情。如果你想做一些简单的事情，比如修改 bean 或注入不同的依赖关系，则可以通过向配置添加 BeanPostProcessor 来实现。你可以在 Spring Reference Manual 中找到更多信息。为此，你需要了解创建哪些 bean，因此你也应该阅读前面问题中的博客文章 how the namespace maps to Spring beans。

通常，您将所需功能添加到 BeanPostProcessor 的 postProcessBeforeInitialization 方法。假设您想自定义 UsernamePasswordAuthenticationFilter（由 form-login 元素创建）使用的 AuthenticationDetailsSource。您想从请求中提取一个名为 CUSTOM_HEADER 的特定标头，并在此标头验证用户身份时使用它。处理器类如下列清单所示：

然后，您将在应用程序上下文中注册此 Bean。Spring 将自动在应用程序上下文中定义的 Bean 上调用它。