【安全漏洞】SpringBoot + SpringSecurity CORS跨域资源共享配置

2024-09-05 17:52
文章标签 java 配置 springboot spring 跨域 springsecurity 资源共享 安全漏洞 cors

本文主要是介绍【安全漏洞】SpringBoot + SpringSecurity CORS跨域资源共享配置，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

SpringBoot CORS跨域资源共享

文章目录

  • SpringBoot CORS跨域资源共享
  • 前言
  • 一、什么是CORS？
  • 二、配置CORS方法
    • 1.nginx中配置跨域资源访问策略
    • 2.springSecurity 过滤器链中配置跨域资源访问策略
    • 3.springBoot 中配置跨域资源访问策略
  • 总结

前言

一个健壮的系统上线时，以及后续验收过程中，通常都会做系统安全测评，这是信息系统正式上线安全运行的重要环节。我们大概率会遇到一个叫：跨域资源共享漏洞的漏洞要求整改，具体描述大概是：“经测试发现服务器存在不安全的CORS配置，存在恶意跨域请求和内部信息泄露的风险。”今天我们就来了解一下这个CROS漏洞，并记录一下在整合了springSecurity这一套安全框架下的springboot系统中如何在后端过滤器中通过正确注册WebMvcConfigurer bean来配置CORS的全局设置，实现对非白名单访问源的拦截。

一、什么是CORS？

CORS，全称是“跨源资源共享”（Cross-Origin Resource Sharing），是一种Web应用程序的安全机制，用于控制不同源的资源之间的交互。
在Web应用程序中，CORS定义了一种机制，通过该机制，浏览器能够限制哪些外部网页可以访问来自不同源的资源。源由协议、域名和端口组成。当一个网页请求另一个网页上的资源时，浏览器会检查请求是否符合CORS规范，以确定是否允许该请求。
CORS的工作原理是：当浏览器发送一个跨域请求时，它会附加一些额外的头部信息到请求中，这些头部信息包含了关于请求的来源和目的的信息。服务器可以检查这些头部信息并决定是否允许该请求。如果服务器允许请求，它会返回一个响应，其中包含一个名为“Access-Control-Allow-Origin”的头部信息，该信息指定了哪些源可以访问该资源。浏览器会检查返回的“Access-Control-Allow-Origin”头部信息，以确定是否允许该跨域请求。通过使用CORS，开发人员可以控制哪些外部网页可以访问他们的资源，从而提高应用程序的安全性。

二、配置CORS方法

1.nginx中配置跨域资源访问策略

nginx中配置跨域资源访问策略，在之前的博客中已经写过具体配置方法了，需要的朋友直接移步以下博客链接查看：
https://blog.csdn.net/weixin_42925623/article/details/134548502

2.springSecurity 过滤器链中配置跨域资源访问策略

在Spring框架中，我们可以在引入Spring Security依赖后，对Security的HttpSecurity进行设置，来开启CORS（跨域/源资源共享），同时能指定只被部分域/源、部分方法、部分头部信息访问资源。
（1）SecurityConfig中过滤器链的配置示例：

@Bean@Order(3)public SecurityFilterChain defaultFilterChain(HttpSecurity http, IGuavaCacheService guavaCacheService, IUsersService usersService, ICaptchaApi captchaApi, JwtEncoder jwtEncoder, JwtDecoder jwtDecoder) throws Exception {http.authorizeHttpRequests(requestMatcherRegistryCustomizer).csrf().disable()//.cors().disable()//关闭cros配置//.cors(withDefaults())//默认cros配置允许所有来源访问.cors().and()//开启cros配置.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authenticationProvider(jwtAuthenticationProvider(jwtDecoder))//在UsernamePasswordAuthenticationFilter前边添加自定义用户认证处理器.addFilterBefore(new CustomUserAuthenticationFilter(authProperties.getLoginProcessingPath(), guavaCacheService.userLockService()), UsernamePasswordAuthenticationFilter.class).addFilterBefore(new CaptAuthenticationFilter(captchaApi, authProperties.getLoginProcessingPath()), CustomUserAuthenticationFilter.class)//主要用于控制UsernamePasswordAuthenticationFilter行为.formLogin()//login静态页面地址，需要和前端静态页面保持一致.loginPage(authProperties.getFrontLoginUrl()).loginProcessingUrl(authProperties.getLoginProcessingPath()).permitAll().successHandler(new ResultAuthenticationSuccessHandler(usersService,new JwtUtils(jwtEncoder), authProperties.getJwtLifetime(), authProperties.getIssuer(), macService)).failureHandler(new ResultAuthenticationFailedHandler(guavaCacheService.userLockService())).and()//处理业务层的认证异常和权限问题，主要用于控制ExceptionTranslationFilter行为.exceptionHandling().authenticationEntryPoint(new RedirectAuthenticationEntryPoint(authProperties.getFrontLoginUrl())).and()//jwt认证.oauth2ResourceServer().authenticationEntryPoint(new BearerTokenAuthenticationEntryPoint()).jwt().decoder(jwtDecoder);//让jwt过滤器共用认证器DefaultSecurityFilterChain build = http.build();return build;}

重点在于cors 这一块语法配置：
//关闭cros配置
.cors().disable()
//使用默认cros配置允许所有来源访问
.cors(withDefaults())
//开启cros配置，配置规则以自定义注册的cros配置为准
.cors().and()

（2）使用addCorsMappings方法来配置CORS
在Spring框架中，我们可以使用addCorsMappings(CorsRegistry registry)方法来配置CORS。
这个方法接收一个CorsRegistry对象，我们可以在这个对象中添加我们的路径和对应的CORS配置。
以下是addCorsMappings方法来配置CORS示例代码：

package com.dg.dp.user.auth.server.config;import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;/*** @Author：* @Date：2024/9/4 18:16* CORS跨域资源共享允许访问源*/
@Configuration
public class WebConfig implements WebMvcConfigurer {@Value("${allow.origin}")String allowOrigin;@Overridepublic void addCorsMappings(CorsRegistry registry) {String[] allowDomain = allowOrigin.split(",");// 允许所有路径的跨域请求registry.addMapping("/**")// 配置允许的访问源.allowedOrigins(allowDomain)// 允许的请求方法.allowedMethods("GET", "POST", "PUT", "DELETE", "HEAD", "OPTIONS")// 允许的请求头.allowedHeaders("*")// 是否允许携带凭证.allowCredentials(true);}
}

其中，allowOrigin为yml配置文件中配置的访问源白名单：

#CORS跨域资源共享允许访问源白名单,多个访问源用逗号分隔
allow:origin: http://example.com,http://127.1.2.3:28080

.allowedOrigins（）配置允许访问源可以为多个，可以放到字符串数组塞进去；
.addMapping(“/**”)表示允许所有路径的跨域请求；
WebMvcConfigurer 需要pom.xml文件引入依赖：

        <dependency><groupId>org.springframework</groupId><artifactId>spring-webmvc</artifactId></dependency>

（3）postman测试配置后的效果
同域下的请求（即Origin配置域名与接口路径前缀域名相同），不存在跨域问题，所以直接可以访问：
在这里插入图片描述
注意，如果请求的地址前缀是ip:port，那需要请求头配置的Origin值的ip:port跟接口请求路径中的ip端口一模一样，如果不一样会被认为是跨域请求，这时候如果代码的allowedOrigins配置白名单也没有该地址，就会被当做异常请求被拦截。
请求头携带的Origin中ip和接口中ip一致，端口不一致会被拦截：
在这里插入图片描述
请求头携带的Origin中配置的域名在代码allowedOrigins配置白名单中，会被认为是可信访问源而被放行：
在这里插入图片描述
在这里插入图片描述

请求头携带的Origin中配置的域名不在代码allowedOrigins配置白名单中，也不与接口前缀域名相同时，会被认为是非法访问源而被拦截掉：
在这里插入图片描述

3.springBoot 中配置跨域资源访问策略

如果springBoot项目没有引入springSecurity框架，这个时候，以上使用addCorsMappings(CorsRegistry registry)方法，或者接下来要讲的，创建一个 CorsFilter 的 Bean 并将其添加到 Spring 容器中，都可以实现cors配置。
addCorsMappings方法来配置CORS示例代码：

package com.dg.dp.user.auth.server.config;import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;/*** @Author：* @Date：2024/9/4 18:16* CORS跨域资源共享允许访问源*/
@Configuration
public class WebConfig implements WebMvcConfigurer {@Value("${allow.origin}")String allowOrigin;@Overridepublic void addCorsMappings(CorsRegistry registry) {String[] allowDomain = allowOrigin.split(",");// 允许所有路径的跨域请求registry.addMapping("/**")// 配置允许的访问源.allowedOrigins(allowDomain)// 允许的请求方法.allowedMethods("GET", "POST", "PUT", "DELETE", "HEAD", "OPTIONS")// 允许的请求头.allowedHeaders("*")// 是否允许携带凭证.allowCredentials(true);}
}

创建一个配置类CorsConfig，并CorsFilter corsFilter()方法作为bean注入到spring 容器，代码示例如下：

package com.digitalgd.sasacdataboard.config;import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;/*** @Author：* @Date：2024/9/5 14:55*/@Configuration
public class CorsConfig {@Beanpublic CorsFilter corsFilter() {CorsConfiguration corsConfiguration = new CorsConfiguration();corsConfiguration.addAllowedOrigin("http://example.com");corsConfiguration.addAllowedMethod("*");corsConfiguration.addAllowedHeader("*");corsConfiguration.setAllowCredentials(true);UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();source.registerCorsConfiguration("/**", corsConfiguration);return new CorsFilter(source);}}

总结

以上就是CROS跨域资源共享安全漏洞修复方法的全部内容，欢迎评论区交流学习！

这篇关于【安全漏洞】SpringBoot + SpringSecurity CORS跨域资源共享配置的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/1139659。

相关文章

JVM 的类初始化机制

JVM 的类初始化机制

前言 当你在 Java 程序中new对象时，有没有考虑过 JVM 是如何把静态的字节码（byte code）转化为运行时对象的呢，这个问题看似简单，但清楚的同学相信也不会太多，这篇文章首先介绍 JVM 类初始化的机制，然后给出几个易出错的实例来分析，帮助大家更好理解这个知识点。 JVM 将字节码转化为运行时对象分为三个阶段，分别是：loading 、Linking、initialization
阅读更多...
Spring Security 基于表达式的权限控制

Spring Security 基于表达式的权限控制

前言 spring security 3.0已经可以使用spring el表达式来控制授权，允许在表达式中使用复杂的布尔逻辑来控制访问的权限。 常见的表达式 Spring Security可用表达式对象的基类是SecurityExpressionRoot。 表达式描述hasRole([role])用户拥有制定的角色时返回true （Spring security默认会带有ROLE_前缀）,去
阅读更多...
浅析Spring Security认证过程

浅析Spring Security认证过程

类图 为了方便理解Spring Security认证流程，特意画了如下的类图，包含相关的核心认证类 概述 核心验证器 AuthenticationManager 该对象提供了认证方法的入口，接收一个Authentiaton对象作为参数; public interface AuthenticationManager {Authentication authenticate(Authenti
阅读更多...
Spring Security--Architecture Overview

Spring Security--Architecture Overview

1 核心组件 这一节主要介绍一些在Spring Security中常见且核心的Java类，它们之间的依赖，构建起了整个框架。想要理解整个架构，最起码得对这些类眼熟。 1.1 SecurityContextHolder SecurityContextHolder用于存储安全上下文（security context）的信息。当前操作的用户是谁，该用户是否已经被认证，他拥有哪些角色权限…这些都被保
阅读更多...
Spring Security基于数据库验证流程详解

Spring Security基于数据库验证流程详解

Spring Security 校验流程图 相关解释说明（认真看哦） AbstractAuthenticationProcessingFilter 抽象类 /*** 调用 #requiresAuthentication(HttpServletRequest, HttpServletResponse) 决定是否需要进行验证操作。* 如果需要验证，则会调用 #attemptAuthentica
阅读更多...
Spring Security 从入门到进阶系列教程

Spring Security 从入门到进阶系列教程

Spring Security 入门系列 《保护 Web 应用的安全》 《Spring-Security-入门（一）：登录与退出》 《Spring-Security-入门（二）：基于数据库验证》 《Spring-Security-入门（三）：密码加密》 《Spring-Security-入门（四）：自定义-Filter》 《Spring-Security-入门（五）：在 Sprin
阅读更多...
Java架构师知识体认识

Java架构师知识体认识

源码分析 常用设计模式 Proxy代理模式Factory工厂模式Singleton单例模式Delegate委派模式Strategy策略模式Prototype原型模式Template模板模式 Spring5 beans 接口实例化代理Bean操作 Context Ioc容器设计原理及高级特性Aop设计原理Factorybean与Beanfactory Transaction 声明式事物
阅读更多...
Zookeeper安装和配置说明

Zookeeper安装和配置说明

一、Zookeeper的搭建方式 Zookeeper安装方式有三种，单机模式和集群模式以及伪集群模式。 ■ 单机模式：Zookeeper只运行在一台服务器上，适合测试环境； ■ 伪集群模式：就是在一台物理机上运行多个Zookeeper 实例； ■ 集群模式：Zookeeper运行于一个集群上，适合生产环境，这个计算机集群被称为一个“集合体”（ensemble） Zookeeper通过复制来实现
阅读更多...
CentOS7安装配置mysql5.7 tar免安装版

CentOS7安装配置mysql5.7 tar免安装版

一、CentOS7.4系统自带mariadb # 查看系统自带的Mariadb[root@localhost~]# rpm -qa|grep mariadbmariadb-libs-5.5.44-2.el7.centos.x86_64# 卸载系统自带的Mariadb[root@localhost ~]# rpm -e --nodeps mariadb-libs-5.5.44-2.el7
阅读更多...
hadoop开启回收站配置

hadoop开启回收站配置

开启回收站功能，可以将删除的文件在不超时的情况下，恢复原数据，起到防止误删除、备份等作用。 开启回收站功能参数说明 （1）默认值fs.trash.interval = 0，0表示禁用回收站；其他值表示设置文件的存活时间。 （2）默认值fs.trash.checkpoint.interval = 0，检查回收站的间隔时间。如果该值为0，则该值设置和fs.trash.interval的参数值相等。
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2