Аутентификация с использованием JWT и Spring Boot Security

Китайская версия документации

Описание

Это демонстрация аутентификации на основе состояния и токена JSON Web Token с защитой от CSRF, используя Spring Security, Spring Boot и Vue js.

Технологическая стопка

Быстрый старт

Среда выполнения: Java11, Node 12, Maven3

Клонировать этот проект

git clone https://github.com/PuZhiweizuishuai/SpringSecurity-JWT-Vue-Deom.git

Запустить сервер заднего плана

cd spring-security-jwt
mvn clean package

Затем

java -jar target/security-0.0.1-SNAPSHOT.jar

Запустить сервер переднего плана

cd vue
npm install

Затем

npm run serve

Наконец

Открыть

http://127.0.0.1:8080

Скриншоты

Безопасность

JWT токены

Для генерации и проверки JWT я использую JJWT. JJWT — это самодостаточная библиотека на Java, предоставляющая создание и проверку JSON Web Tokens.### Стратегия хранения JWT

У нас есть несколько вариантов мест для хранения токена:

• Хранилище веб-приложений HTML5 (localStorage или sessionStorage)
• Cookies

Основная проблема использования Web Storage

Она доступна через JavaScript на том же домене. Это значит, что любой JavaScript, работающий на вашем сайте, будет иметь доступ к хранилищу веб-приложений, и поэтому может быть уязвимым к атакам типа Cross-Site Scripting (XSS).

Поэтому, чтобы предотвратить XSS, я храню JWT токен в Http-Only/Secure cookie. Cookies, когда используются вместе с флагом HttpOnly cookie, недоступны через JavaScript и защищены от XSS.

Атака CSRF

Однако, cookies уязвимы к другой форме атаки — cross-site request forgery (CSRF). CSRF-атаки происходят, когда злонамеренный сайт, электронное письмо или блог заставляет браузер пользователя выполнить незапрошенное действие на сайте, на котором пользователь уже авторизован.

Чтобы защититься от CSRF-атак, нам следует создать дополнительный cookie, который можно считывать с помощью JavaScript, называемый XSRF-TOKEN. Этот cookie должен создаваться при входе пользователя и содержать случайную и непредсказуемую строку. Каждый раз, когда JavaScript-приложение хочет отправить запрос, ему следует считывать этот токен и передавать его в специальном HTTP-заголовке.

Справочная документация

Справочник Spring Security

Vue.js

Взаимозависимое программное обеспечение

mavonEditor

element UI

Авторское право и лицензия

Код распространяется под лицензией MIT.