互联网系统应用安全控制

2024-03-01 22:32
文章标签 系统 应用 互联网 安全控制

本文主要是介绍互联网系统应用安全控制，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

在 Web 应用开发中，安全一直是非常重要的一个方面。面向互联网公网的接口服务，如果不加防护会导致数据泄露和商业风险。应用的安全性包括用户认证（Authentication）和用户授权（Authorization）两个部分。用户认证指的是验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认证过程。用户授权指的是验证某个用户是否有权限执行某个操作。简单来说，认证是指系统需要确认你是谁？而授权是指在通过认证之后，你能干什么？

核心概念

用户认证关键对象

  • Subject：主体，可以是用户，也可能是程序，都要去访问系统的资源，系统需要对subject进行身份认证。
  • Principal：身份信息，通常是唯一的，一个主题还有多个身份信息，但都有一个主身份信息（Primary Principal）。
  • Credential：凭证信息，可以是密码、证书、指纹。

用户授权关键对象

  • who：主题，即上文的subject
  • what：资源，resource，subject必须具备资源的访问权限才可访问资源。
  • how：权限/许可permission，针对资源的权限或许可，subject具有permission访问资源，如何访问需要定义permission。

常见的实现标准

Http常用认证方式

  • Http Basic认证：用户名密码按照格式“用户名:密码”通过Base-64编码，通过Authorization header传递到服务端，服务端解码成为“用户名:密码”格式进行认证。
  • Http Digest认证：当客户端第一次请求服务端资源时，服务端会返回一个随机数(nonce), 然后客户端会通过多次MD5加密来计算出来response的值 (response=MD5(HA1:nonce:HA2)), 其中HA1=MD5(username:realm:password), HA2=MD5(method:digestURI). 当服务端拿到这个response，那么它会从DB取出用户名密码来做同样的操作来看计算出来的response是否一致，如果一致，则表明认证通过。
  • Cookies & Session：在第一次登陆请求中传递用户名密码，服务端在校验结束后生成一个session-id，并将这个session-id和用户关联，然后通过http response的cookie header返回给客户端，客户端只需要存储这个cookie并在后续的请求都带上这个cookie就可以。
  • JWT（Json web token）：一种安全标准(RFC 7519)。服务器认证以后，生成一个 JSON 对象，发回给用户，用户与服务端通信的时候，都要发回这个 JSON 对象。服务器完全只靠这个合法签名的对象认定用户身份。

互联网常用授权理论

  • ACL: 控制访问列表(Access Control List) 。ACL是面向"资源"的访问控制模型，机制是围绕"资源"展开的。在ACL中，包含用户(User)、资源(Resource)、资源操作(Operation)三个关键要素。每一项资源，都配有一个列表，记录哪些用户可以对这项资源执行哪些操作。当系统试图访问这项资源时，会检查这个列表中是否有关于当前用户的操作权限。
  • RBAC: 基于角色的访问控制(Role-BasedAccess Control)。RBAC认为授权实际就是 who，what，how 三者之间的关系，即 who 对 what 进行 how 的操作。
  • OAuth2：OAuth是一个关于授权（authorization）的开放网络标准，目前的版本是2.0版。

基于角色的访问控制

RBAC认为权限的过程可以抽象概括为：判断“Who是否可以对What进行How的访问操作（Operator）”这个逻辑表达式的值是否为True的求解过程。即将权限问题转换为Who、What、How的问题。who、what、how构成了访问权限三元组。

RBAC的核心模型图如下：
在这里插入图片描述
RBAC的关注点在于 Role 和 User, Permission 的关系。称为 User assignment(UA) 和 Permission assignment(PA)。关系的左右两边都是 Many-to-Many 关系。就是 user 可以有多个 role，role 可以包括多个 user。User 通过成为 Role 而得到这些 Role 的 Permission，Role 隔离了 User 和 Permission 的逻辑关系。
实体关系图如下：
在这里插入图片描述

  • 用户（user）：人、机器、网络等，进行资源或服务访问的实施主体
  • 角色（role）：一个工作职能，被授予角色的用户将具有相应的权威和责任
  • 会话（session）：从用户到其激活的角色集合的一个映射
  • 权限（permission）：对受RBAC保护的一个或多个对象执行某个操作的许可
  • 操作（operation）：一个程序可执行的映像，被调用时为用户执行某些功能
  • 客体（object）：需要进行访问控制的系统资源，例如：文件、打印机、数据库记录等

某个主体（subject）对某个客体（object）需要实施某种操作（operation），系统对这种操作的限制就是权限控制。在一个安全的系统中，通过认证来确认主体的身份。客体是一种资源，是主体发起请求的对象。主体所能做什么，就是权限，权限可以细分为不同的能力，例如：在Linux文件系统中，将权限分为 读、写、执行 三种能力。

适用于RBAC模型的开源框架

Apache Shiro

Shiro是一个强大而灵活的开源安全框架，能够非常清晰的处理认证、授权、管理会话以及密码加密。Shiro在保持强大功能的同时，还在简单性和灵活性方面拥有巨大优势。Shiro对角色的简单的签权（访问控制），支持细粒度的签权；不跟任何的框架或者容器捆绑，可以独立运行。
在这里插入图片描述

Spring Security

Spring Security提供了一套 Web 应用安全性的完整解决方案。在用户认证方面，Spring Security 框架支持主流的认证方式，包括 HTTP 基本认证、HTTP 表单验证、HTTP 摘要认证、OpenID 和 LDAP 等。在用户授权方面，Spring Security 提供了基于角色的访问控制和访问控制列表（Access Control List，ACL），可以对应用中的领域对象进行细粒度的控制。

Apache Shiro VS Spring Security

除了不能脱离Spring，shiro的功能Spring Security都有。而且Spring Security对Oauth、OpenID也有支持,Shiro则需要自己手动实现。但Apache Shiro的学习难度要底很多，如果对Apache Shiro 和 Spring Security都不熟的团队，建议直接上手shiro。

OAuth2.0

OAuth 是一个在不提供用户名和密码的情况下，授权第三方应用访问 Web 资源的安全协议。例如一个 OAuth 场景：用户将照片存储在Google，然后在"云冲印"的网站，将照片冲印出来。那么，"云冲印"网站需要获得用户的授权来读取Google上的用户照片。

OAuth在"客户端"与"服务提供商"之间，设置了一个授权层（authorization layer）。“客户端"不能直接登录"服务提供商”，只能登录授权层，以此将用户与客户端区分开来。"客户端"登录授权层所用的令牌（token），与用户的密码不同。用户可以在登录的时候，指定授权层令牌的权限范围和有效期。

OAuth 的一些名词：

  • Third-party application：第三方应用程序，又称 “Client” 客户端
  • HTTP Service：HTTP服务提供商，上例中的Google
  • Resource Owner：资源所有者，就是用户
  • User Agent：用户代理，就是浏览器
  • Authorization server：认证服务器，即服务商提供商专门处理认证的服务器
  • Resource server：资源服务器，即服务提供商存放用户生成的资源的服务器

客户端必须得到用户的授权（authorization grant），才能获得令牌（access token）。OAuth 2.0定义了四种授权方式。

  • 授权码模式（authorization code）
  • 简化模式（implicit）
  • 密码模式（resource owner password credentials）
  • 客户端模式（client credentials）

拍拍贷架构师杨波给了一个流程图来帮助判断什么样的场景下需要采用哪种OAuth2的workflow：
在这里插入图片描述

Spring Cloud Security

Spring Cloud Security提供了一组用于构建安全应用程序和服务的简单框架。基于Spring Boot和Spring Security OAuth2，我们可以快速创建实现常见模式的系统，如单点登录、令牌刷新和令牌交换。

Spring Security VS Spring Cloud Security

Spring Security解决的是单体服务的授权认证问题，Spring Cloud Security解决的是分布式架构系统间授权问题。在使用Spring Cloud Security OAuth2.0的微服务体系内部，依然需要使用Spring Security实现资源服务内的访问权限控制。

参考文档
权限管理——用户认证和用户授权
https://blog.csdn.net/xdd19910505/article/details/51926540
微服务架构学习笔记之一认证和授权
https://www.jianshu.com/p/8867ea3cd9f7
JSON Web Token 入门教程
http://www.ruanyifeng.com/blog/2018/07/json_web_token-tutorial.html
RBAC模型初探
http://blog.sciencenet.cn/blog-2946501-974635.html
理解OAuth 2.0
http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html
权限控制和OAuth
http://www.cnblogs.com/butterfly100/p/8698425.html
互联网业务安全之通用安全风险模型
http://www.cnblogs.com/alisecurity/p/5780648.html

这篇关于互联网系统应用安全控制的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/764043。

相关文章

不懂推荐算法也能设计推荐系统

不懂推荐算法也能设计推荐系统

本文以商业化应用推荐为例，告诉我们不懂推荐算法的产品，也能从产品侧出发， 设计出一款不错的推荐系统。 相信很多新手产品，看到算法二字，多是懵圈的。 什么排序算法、最短路径等都是相对传统的算法（注：传统是指科班出身的产品都会接触过）。但对于推荐算法，多数产品对着网上搜到的资源，都会无从下手。特别当某些推荐算法 和 “AI”扯上关系后，更是加大了理解的难度。 但，不了解推荐算法，就无法做推荐系
阅读更多...
中文分词jieba库的使用与实景应用（一）

中文分词jieba库的使用与实景应用（一）

知识星球：https://articles.zsxq.com/id_fxvgc803qmr2.html 目录 一.定义： 精确模式（默认模式）： 全模式： 搜索引擎模式： paddle 模式（基于深度学习的分词模式）： 二 自定义词典 三.文本解析   调整词出现的频率 四. 关键词提取 A. 基于TF-IDF算法的关键词提取 B. 基于TextRank算法的关键词提取
阅读更多...
基于人工智能的图像分类系统

基于人工智能的图像分类系统

目录 引言项目背景环境准备 硬件要求软件安装与配置系统设计 系统架构关键技术代码示例 数据预处理模型训练模型预测应用场景结论 1. 引言 图像分类是计算机视觉中的一个重要任务，目标是自动识别图像中的对象类别。通过卷积神经网络（CNN）等深度学习技术，我们可以构建高效的图像分类系统，广泛应用于自动驾驶、医疗影像诊断、监控分析等领域。本文将介绍如何构建一个基于人工智能的图像分类系统，包括环境
阅读更多...
水位雨量在线监测系统概述及应用介绍

水位雨量在线监测系统概述及应用介绍

在当今社会，随着科技的飞速发展，各种智能监测系统已成为保障公共安全、促进资源管理和环境保护的重要工具。其中，水位雨量在线监测系统作为自然灾害预警、水资源管理及水利工程运行的关键技术，其重要性不言而喻。 一、水位雨量在线监测系统的基本原理 水位雨量在线监测系统主要由数据采集单元、数据传输网络、数据处理中心及用户终端四大部分构成，形成了一个完整的闭环系统。 数据采集单元：这是系统的“眼睛”，
阅读更多...
csu 1446 Problem J Modified LCS （扩展欧几里得算法的简单应用）

csu 1446 Problem J Modified LCS （扩展欧几里得算法的简单应用）

这是一道扩展欧几里得算法的简单应用题，这题是在湖南多校训练赛中队友ac的一道题，在比赛之后请教了队友，然后自己把它a掉 这也是自己独自做扩展欧几里得算法的题目 题意：把题意转变下就变成了：求d1*x - d2*y = f2 - f1的解,很明显用exgcd来解 下面介绍一下exgcd的一些知识点：求ax + by = c的解 一、首先求ax + by = gcd(a,b)的解 这个
阅读更多...
hdu1394(线段树点更新的应用)

hdu1394(线段树点更新的应用)

题意：求一个序列经过一定的操作得到的序列的最小逆序数 这题会用到逆序数的一个性质，在0到n-1这些数字组成的乱序排列，将第一个数字A移到最后一位，得到的逆序数为res-a+(n-a-1) 知道上面的知识点后，可以用暴力来解 代码如下： #include<iostream>#include<algorithm>#include<cstring>#include<stack>#in
阅读更多...
嵌入式QT开发：构建高效智能的嵌入式系统

嵌入式QT开发：构建高效智能的嵌入式系统

摘要： 本文深入探讨了嵌入式 QT 相关的各个方面。从 QT 框架的基础架构和核心概念出发，详细阐述了其在嵌入式环境中的优势与特点。文中分析了嵌入式 QT 的开发环境搭建过程，包括交叉编译工具链的配置等关键步骤。进一步探讨了嵌入式 QT 的界面设计与开发，涵盖了从基本控件的使用到复杂界面布局的构建。同时也深入研究了信号与槽机制在嵌入式系统中的应用，以及嵌入式 QT 与硬件设备的交互，包括输入输出设
阅读更多...
JAVA智听未来一站式有声阅读平台听书系统小程序源码

JAVA智听未来一站式有声阅读平台听书系统小程序源码

智听未来，一站式有声阅读平台听书系统 🌟&nbsp;开篇：遇见未来，从“智听”开始 在这个快节奏的时代，你是否渴望在忙碌的间隙，找到一片属于自己的宁静角落？是否梦想着能随时随地，沉浸在知识的海洋，或是故事的奇幻世界里？今天，就让我带你一起探索“智听未来”——这一站式有声阅读平台听书系统，它正悄悄改变着我们的阅读方式，让未来触手可及！ 📚&nbsp;第一站：海量资源，应有尽有 走进“智听
阅读更多...
zoj3820(树的直径的应用)

zoj3820(树的直径的应用)

题意：在一颗树上找两个点，使得所有点到选择与其更近的一个点的距离的最大值最小。 思路：如果是选择一个点的话，那么点就是直径的中点。现在考虑两个点的情况，先求树的直径，再把直径最中间的边去掉，再求剩下的两个子树中直径的中点。 代码如下： #include <stdio.h>#include <string.h>#include <algorithm>#include <map>#
阅读更多...
【区块链 + 人才服务】可信教育区块链治理系统 | FISCO BCOS应用案例

【区块链 + 人才服务】可信教育区块链治理系统 | FISCO BCOS应用案例

伴随着区块链技术的不断完善，其在教育信息化中的应用也在持续发展。利用区块链数据共识、不可篡改的特性， 将与教育相关的数据要素在区块链上进行存证确权，在确保数据可信的前提下，促进教育的公平、透明、开放，为教育教学质量提升赋能，实现教育数据的安全共享、高等教育体系的智慧治理。 可信教育区块链治理系统的顶层治理架构由教育部、高校、企业、学生等多方角色共同参与建设、维护，支撑教育资源共享、教学质量评估、
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2