写点什么

年轻人不讲武德!Security 五套「源码级」笔记哪里来的?

用户头像
小Q
关注
发布于: 2020 年 11 月 24 日

Spring Security是一个强大且高度可定制的安全框架,致力于为Java应用提供身份认证和授权。



本篇文章将会通过5个部分内容由浅入深地介绍了Spring Security的方方面面。



第1部分主要讲解Spring Security的基本配置。



第2部分剖析Web项目可能遇到的安全问题,并讲解如何使用SpringSecurity进行有效防护。



第3部分详细介绍OAuth,并使用Spring Social整合Spring Security, 实现QQ快捷登录。



第4部分重点介绍Spring Security OAuth框架,剖析Spring Security OAuth的部分核心源码。.



第5部分Spring Security OAuth2.0认证授权课程笔记!(实战)



先上源码,源码已经为大家整理完毕!





小编已经将这四部分整理成册,受限于文章篇幅问题,小编只能为大家展示部分内容,关注公众号,后台回复Java即可



第一部分:Spring Security基本配置





第1章初识Spring Security





第2章表单认证



在第1章中,我们初步引入了Spring Security,并使用其默认生效的HTTP基本认证来保护URL资源,本章我们使用表单认证来保护URL资源。





第3章认证与授权



在第2章中,我们沿用了Spring Security默认的安全机制:仅有一个用户,仅有一种角色。在实际开发中,这自然是无法满足需求的。本章将更加深入地对Spring Security进行配置,且初步 使用授权机制。





第二部分:SpringSecurity防护





第4章实现图形验证码



在验证用户名和密码之前,引入辅助验证可有效防范暴力试错,图形验证码就是简单且行之有效的一种辅助验证方式。下面将使用过滤器和自定义认证两种方式实现图形验证码功能。





第5章自动登录和注销登录



关于网站的安全设计,通常是有一些矛盾点的。我们在作为某些系统开发者的同时,也在充当着另外一些系统的用户,一些感同身受的东西可以带来很多思考。





第6章会话管理



只需在两个浏览器中用同一个账号登录就会发现,到目前为止,系统尚未有任何会话并发限制。一个账户能多处同时登录可不是一个好的策略。事实上,Spring Security 已经为我们提供了完善的会话管理功能,包括会话固定攻击、会话超时检测以及会话并发控制。





第7章密码加密



密码安全是互联网安全的一个缩影,我们在享受互联网服务的同时,也应当对它投入更多的关注。





第8章跨域与CORS



跨域是一种浏览器同源安全策略,即浏览器单方面限制脚本的跨域访问。





第9章跨域请求伪造的防护



CSRF的全称是(Cross Site Request Forgery) ,可译为跨域请求伪造,是一种利用用户带登录态的cookie进行安全操作的攻击方式。CSRF实际上并不难防,但常常被系统开发者忽略,从而埋下巨大的安全隐患。





第10章单点登录与CAS



单点登录( Single Sign On, SSO)是指在多个应用系统中,只需登录一次,即可同时以登录态共享企业所有相关又彼此独立的系统的功能。对于旗下拥有众多系统的企业来说,单点登录不仅降低了用户的登录成本,统一了不同系统间的账号体系,还减少了各个系统在用户设计上付出的精力。





第11章HTTP认证



除系统内维护的用户名和密码认证技术外,Spring Security还支持HTTP层面的认证技术,包括HTTP基本认证和HTTP摘要认证两种。





第12章@EnableWebSecurity与过滤器链机制



为什么加上@EnableWebSecurity注解就可以让Spring Security起作用? Spring Security又是通过什么方式来拦截请求并执行认证的?下面就带着这两个问题,深入源码一探究竟。





第三部分:Spring Social整合Spring Security





第13章用Spring Social实现OAuth对接



OAuth解决了在用户不提供密码给第三方应用的情况下,让第三方应用有权获取用户数据以及基本信息的难题。





第四部分:剖析Spring Security OAuth部分核心源码





第14章用Spring Security OAuth实现OAuth对接



Spring Security OAuth是一个专注于OAuth认证的框架,它完整覆盖了客户端、资源服务和认证服务三个模块。这三个模块分别在Spring Security5.0、5.1和5.3三个版本中被集成,原有的独立项目则进入维护状态。.



Spring Security 5.0中集成了OAuth的客户端模块,该模块包含以下三个子模块。



(1)spring-security- oauth2-core: OAuth授权框架和OIDC的核心数据结构及接口,被Client、Resource Server和Authorization Server所依赖。



(2) spring- security-oauth2-jose:支持JIOSE协议组,具体包括以下内容。



  • JSON Web Token (JWT);

  • JSON Web Signature (JWS);

  • JSON Web Encryption (JWE);

  • JSON Web Key (JWK)。



(3) spring-security-oauth2-client:是Spring Security支持OAuth和OIDC的客户端功能实现包。





Spring Security OAuth2.0认证授权课程笔记











总结



这5套笔记按照What (背景知识)、How (实战) Why (源码分析)原则,抽丝剥茧地讲解Spring Security的典型应用场景,提供-条由浅入深的SpringSecurity学习路线,并分析部分核心源码,帮助读者快速掌握SpringSecurity的相关知识。



**最后的最后就是大家关心的如何获取这份笔记了!100免费获取方式:转发这篇文章+关注我,关注公众号,后台回复Java即可



发布于: 2020 年 11 月 24 日阅读数: 62
用户头像

小Q

关注

还未添加个人签名 2020.06.30 加入

小Q 公众号:Java架构师联盟 作者多年从事一线互联网Java开发的学习历程技术汇总,旨在为大家提供一个清晰详细的学习教程,侧重点更倾向编写Java核心内容。如果能为您提供帮助,请给予支持(关注、点赞、分享)!

评论

发布
暂无评论
年轻人不讲武德!Security五套「源码级」笔记哪里来的?