【安全漏洞】SpringBoot + SpringSecurity CORS跨域资源共享配置

本文主要是介绍【安全漏洞】SpringBoot + SpringSecurity CORS跨域资源共享配置,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

SpringBoot CORS跨域资源共享


文章目录

  • SpringBoot CORS跨域资源共享
  • 前言
  • 一、什么是CORS?
  • 二、配置CORS方法
    • 1.nginx中配置跨域资源访问策略
    • 2.springSecurity 过滤器链中配置跨域资源访问策略
    • 3.springBoot 中配置跨域资源访问策略
  • 总结


前言

一个健壮的系统上线时,以及后续验收过程中,通常都会做系统安全测评,这是信息系统正式上线安全运行的重要环节。我们大概率会遇到一个叫:跨域资源共享漏洞的漏洞要求整改,具体描述大概是:“经测试发现服务器存在不安全的CORS配置,存在恶意跨域请求和内部信息泄露的风险。”今天我们就来了解一下这个CROS漏洞,并记录一下在整合了springSecurity这一套安全框架下的springboot系统中如何在后端过滤器中通过正确注册WebMvcConfigurer bean来配置CORS的全局设置,实现对非白名单访问源的拦截。


一、什么是CORS?

CORS,全称是“跨源资源共享”(Cross-Origin Resource Sharing),是一种Web应用程序的安全机制,用于控制不同源的资源之间的交互。
在Web应用程序中,CORS定义了一种机制,通过该机制,浏览器能够限制哪些外部网页可以访问来自不同源的资源。源由协议、域名和端口组成。当一个网页请求另一个网页上的资源时,浏览器会检查请求是否符合CORS规范,以确定是否允许该请求。
CORS的工作原理是:当浏览器发送一个跨域请求时,它会附加一些额外的头部信息到请求中,这些头部信息包含了关于请求的来源和目的的信息。服务器可以检查这些头部信息并决定是否允许该请求。如果服务器允许请求,它会返回一个响应,其中包含一个名为“Access-Control-Allow-Origin”的头部信息,该信息指定了哪些源可以访问该资源。浏览器会检查返回的“Access-Control-Allow-Origin”头部信息,以确定是否允许该跨域请求。通过使用CORS,开发人员可以控制哪些外部网页可以访问他们的资源,从而提高应用程序的安全性。

二、配置CORS方法

1.nginx中配置跨域资源访问策略

nginx中配置跨域资源访问策略,在之前的博客中已经写过具体配置方法了,需要的朋友直接移步以下博客链接查看:
https://blog.csdn.net/weixin_42925623/article/details/134548502

2.springSecurity 过滤器链中配置跨域资源访问策略

在Spring框架中,我们可以在引入Spring Security依赖后,对Security的HttpSecurity进行设置,来开启CORS(跨域/源资源共享),同时能指定只被部分域/源、部分方法、部分头部信息访问资源。
(1)SecurityConfig中过滤器链的配置示例:

@Bean@Order(3)public SecurityFilterChain defaultFilterChain(HttpSecurity http, IGuavaCacheService guavaCacheService, IUsersService usersService, ICaptchaApi captchaApi, JwtEncoder jwtEncoder, JwtDecoder jwtDecoder) throws Exception {http.authorizeHttpRequests(requestMatcherRegistryCustomizer).csrf().disable()//.cors().disable()//关闭cros配置//.cors(withDefaults())//默认cros配置允许所有来源访问.cors().and()//开启cros配置.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authenticationProvider(jwtAuthenticationProvider(jwtDecoder))//在UsernamePasswordAuthenticationFilter前边添加自定义用户认证处理器.addFilterBefore(new CustomUserAuthenticationFilter(authProperties.getLoginProcessingPath(), guavaCacheService.userLockService()), UsernamePasswordAuthenticationFilter.class).addFilterBefore(new CaptAuthenticationFilter(captchaApi, authProperties.getLoginProcessingPath()), CustomUserAuthenticationFilter.class)//主要用于控制UsernamePasswordAuthenticationFilter行为.formLogin()//login静态页面地址,需要和前端静态页面保持一致.loginPage(authProperties.getFrontLoginUrl()).loginProcessingUrl(authProperties.getLoginProcessingPath()).permitAll().successHandler(new ResultAuthenticationSuccessHandler(usersService,new JwtUtils(jwtEncoder), authProperties.getJwtLifetime(), authProperties.getIssuer(), macService)).failureHandler(new ResultAuthenticationFailedHandler(guavaCacheService.userLockService())).and()//处理业务层的认证异常和权限问题,主要用于控制ExceptionTranslationFilter行为.exceptionHandling().authenticationEntryPoint(new RedirectAuthenticationEntryPoint(authProperties.getFrontLoginUrl())).and()//jwt认证.oauth2ResourceServer().authenticationEntryPoint(new BearerTokenAuthenticationEntryPoint()).jwt().decoder(jwtDecoder);//让jwt过滤器共用认证器DefaultSecurityFilterChain build = http.build();return build;}

重点在于cors 这一块语法配置
//关闭cros配置
.cors().disable()
//使用默认cros配置允许所有来源访问
.cors(withDefaults())
//开启cros配置,配置规则以自定义注册的cros配置为准
.cors().and()

(2)使用addCorsMappings方法来配置CORS
在Spring框架中,我们可以使用addCorsMappings(CorsRegistry registry)方法来配置CORS。
这个方法接收一个CorsRegistry对象,我们可以在这个对象中添加我们的路径和对应的CORS配置。
以下是addCorsMappings方法来配置CORS示例代码:

package com.dg.dp.user.auth.server.config;import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;/*** @Author:* @Date:2024/9/4 18:16* CORS跨域资源共享允许访问源*/
@Configuration
public class WebConfig implements WebMvcConfigurer {@Value("${allow.origin}")String allowOrigin;@Overridepublic void addCorsMappings(CorsRegistry registry) {String[] allowDomain = allowOrigin.split(",");// 允许所有路径的跨域请求registry.addMapping("/**")// 配置允许的访问源.allowedOrigins(allowDomain)// 允许的请求方法.allowedMethods("GET", "POST", "PUT", "DELETE", "HEAD", "OPTIONS")// 允许的请求头.allowedHeaders("*")// 是否允许携带凭证.allowCredentials(true);}
}

其中,allowOrigin为yml配置文件中配置的访问源白名单:

#CORS跨域资源共享允许访问源白名单,多个访问源用逗号分隔
allow:origin: http://example.com,http://127.1.2.3:28080

.allowedOrigins()配置允许访问源可以为多个,可以放到字符串数组塞进去;
.addMapping(“/**”)表示允许所有路径的跨域请求;
WebMvcConfigurer 需要pom.xml文件引入依赖:

        <dependency><groupId>org.springframework</groupId><artifactId>spring-webmvc</artifactId></dependency>

(3)postman测试配置后的效果
同域下的请求(即Origin配置域名与接口路径前缀域名相同),不存在跨域问题,所以直接可以访问:
在这里插入图片描述
注意,如果请求的地址前缀是ip:port,那需要请求头配置的Origin值的ip:port跟接口请求路径中的ip端口一模一样,如果不一样会被认为是跨域请求,这时候如果代码的allowedOrigins配置白名单也没有该地址,就会被当做异常请求被拦截。
请求头携带的Origin中ip和接口中ip一致,端口不一致会被拦截:
在这里插入图片描述
请求头携带的Origin中配置的域名在代码allowedOrigins配置白名单中,会被认为是可信访问源而被放行:
在这里插入图片描述
在这里插入图片描述

请求头携带的Origin中配置的域名不在代码allowedOrigins配置白名单中,也不与接口前缀域名相同时,会被认为是非法访问源而被拦截掉:
在这里插入图片描述

3.springBoot 中配置跨域资源访问策略

如果springBoot项目没有引入springSecurity框架,这个时候,以上使用addCorsMappings(CorsRegistry registry)方法,或者接下来要讲的,创建一个 CorsFilter 的 Bean 并将其添加到 Spring 容器中,都可以实现cors配置。
addCorsMappings方法来配置CORS示例代码:

package com.dg.dp.user.auth.server.config;import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;/*** @Author:* @Date:2024/9/4 18:16* CORS跨域资源共享允许访问源*/
@Configuration
public class WebConfig implements WebMvcConfigurer {@Value("${allow.origin}")String allowOrigin;@Overridepublic void addCorsMappings(CorsRegistry registry) {String[] allowDomain = allowOrigin.split(",");// 允许所有路径的跨域请求registry.addMapping("/**")// 配置允许的访问源.allowedOrigins(allowDomain)// 允许的请求方法.allowedMethods("GET", "POST", "PUT", "DELETE", "HEAD", "OPTIONS")// 允许的请求头.allowedHeaders("*")// 是否允许携带凭证.allowCredentials(true);}
}

创建一个配置类CorsConfig,并CorsFilter corsFilter()方法作为bean注入到spring 容器,代码示例如下:

package com.digitalgd.sasacdataboard.config;import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;/*** @Author:* @Date:2024/9/5 14:55*/@Configuration
public class CorsConfig {@Beanpublic CorsFilter corsFilter() {CorsConfiguration corsConfiguration = new CorsConfiguration();corsConfiguration.addAllowedOrigin("http://example.com");corsConfiguration.addAllowedMethod("*");corsConfiguration.addAllowedHeader("*");corsConfiguration.setAllowCredentials(true);UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();source.registerCorsConfiguration("/**", corsConfiguration);return new CorsFilter(source);}}

总结

以上就是CROS跨域资源共享安全漏洞修复方法的全部内容,欢迎评论区交流学习!

这篇关于【安全漏洞】SpringBoot + SpringSecurity CORS跨域资源共享配置的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1139659

相关文章

Java学习手册之Filter和Listener使用方法

《Java学习手册之Filter和Listener使用方法》:本文主要介绍Java学习手册之Filter和Listener使用方法的相关资料,Filter是一种拦截器,可以在请求到达Servl... 目录一、Filter(过滤器)1. Filter 的工作原理2. Filter 的配置与使用二、Listen

Spring Boot中JSON数值溢出问题从报错到优雅解决办法

《SpringBoot中JSON数值溢出问题从报错到优雅解决办法》:本文主要介绍SpringBoot中JSON数值溢出问题从报错到优雅的解决办法,通过修改字段类型为Long、添加全局异常处理和... 目录一、问题背景:为什么我的接口突然报错了?二、为什么会发生这个错误?1. Java 数据类型的“容量”限制

Java对象转换的实现方式汇总

《Java对象转换的实现方式汇总》:本文主要介绍Java对象转换的多种实现方式,本文通过实例代码给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,需要的朋友参考下吧... 目录Java对象转换的多种实现方式1. 手动映射(Manual Mapping)2. Builder模式3. 工具类辅助映

SpringBoot请求参数接收控制指南分享

《SpringBoot请求参数接收控制指南分享》:本文主要介绍SpringBoot请求参数接收控制指南,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录Spring Boot 请求参数接收控制指南1. 概述2. 有注解时参数接收方式对比3. 无注解时接收参数默认位置

SpringBoot基于配置实现短信服务策略的动态切换

《SpringBoot基于配置实现短信服务策略的动态切换》这篇文章主要为大家详细介绍了SpringBoot在接入多个短信服务商(如阿里云、腾讯云、华为云)后,如何根据配置或环境切换使用不同的服务商,需... 目录目标功能示例配置(application.yml)配置类绑定短信发送策略接口示例:阿里云 & 腾

SpringBoot项目中报错The field screenShot exceeds its maximum permitted size of 1048576 bytes.的问题及解决

《SpringBoot项目中报错ThefieldscreenShotexceedsitsmaximumpermittedsizeof1048576bytes.的问题及解决》这篇文章... 目录项目场景问题描述原因分析解决方案总结项目场景javascript提示:项目相关背景:项目场景:基于Spring

Spring Boot 整合 SSE的高级实践(Server-Sent Events)

《SpringBoot整合SSE的高级实践(Server-SentEvents)》SSE(Server-SentEvents)是一种基于HTTP协议的单向通信机制,允许服务器向浏览器持续发送实... 目录1、简述2、Spring Boot 中的SSE实现2.1 添加依赖2.2 实现后端接口2.3 配置超时时

Spring Boot读取配置文件的五种方式小结

《SpringBoot读取配置文件的五种方式小结》SpringBoot提供了灵活多样的方式来读取配置文件,这篇文章为大家介绍了5种常见的读取方式,文中的示例代码简洁易懂,大家可以根据自己的需要进... 目录1. 配置文件位置与加载顺序2. 读取配置文件的方式汇总方式一:使用 @Value 注解读取配置方式二

一文详解Java异常处理你都了解哪些知识

《一文详解Java异常处理你都了解哪些知识》:本文主要介绍Java异常处理的相关资料,包括异常的分类、捕获和处理异常的语法、常见的异常类型以及自定义异常的实现,文中通过代码介绍的非常详细,需要的朋... 目录前言一、什么是异常二、异常的分类2.1 受检异常2.2 非受检异常三、异常处理的语法3.1 try-

Java中的@SneakyThrows注解用法详解

《Java中的@SneakyThrows注解用法详解》:本文主要介绍Java中的@SneakyThrows注解用法的相关资料,Lombok的@SneakyThrows注解简化了Java方法中的异常... 目录前言一、@SneakyThrows 简介1.1 什么是 Lombok?二、@SneakyThrows