知識庫 / Spring / Spring Security RSS 訂閱

此外，該實現具有可定製性，並且具有合理的默認值。換句話説，我們可以禁用（但不建議）某些功能，例如允許分號作為 URI 的一部分。

@Bean
public HttpFirewall getHttpFirewall() {
    StrictHttpFirewall strictHttpFirewall = new StrictHttpFirewall();
    strictHttpFirewall.setAllowSemicolon(true);
    return strictHttpFirewall;
}

簡而言之，StrictHttpFirewall 會通過拋出 org.springframework.security.web.firewall.RequestRejectedException 來拒絕可疑請求。

最後，我們使用 Spring REST 和 Spring Security 對用户進行 CRUD 操作，開發一個用户管理應用程序，並觀察到 StrictHttpFirewall 的應用。

5. 依賴項

聲明以下依賴項：Spring Security 和 Spring Web 依賴項：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
    <version>3.1.5</version>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
    <version>3.1.5</version>
</dependency>

6. Spring Security 配置

接下來，讓我們使用 Basic 身份驗證來安全地配置我們的應用程序，通過創建一個配置類來創建 SecurityFilterChain 託管 Bean：

@Configuration
public class HttpFirewallConfiguration {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf(AbstractHttpConfigurer::disable)
            .authorizeHttpRequests(authorizationManagerRequestMatcherRegistry ->
                    authorizationManagerRequestMatcherRegistry.requestMatchers("/error").permitAll().anyRequest().authenticated())
            .httpBasic(Customizer.withDefaults());
        return http.build();
    }
}

默認情況下，Spring Security 提供一個默認密碼，該密碼會在每次重啓時更改。因此，讓我們在 application.properties 中創建一個默認用户名和密碼：

spring.security.user.name=user
spring.security.user.password=password

由此可見，我們將會使用這些憑據來訪問我們的安全REST API。

7. 構建安全的 REST API

現在，讓我們構建我們的用户管理 REST API：

@PostMapping
public ResponseEntity<Response> createUser(@RequestBody User user) {
    userService.saveUser(user);
    Response response = new Response()
      .withTimestamp(System.currentTimeMillis())
      .withCode(HttpStatus.CREATED.value())
      .withMessage("User created successfully");
    URI location = URI.create("/users/" + user.getId());
    return ResponseEntity.created(location).body(response);
}
 
@DeleteMapping("/{userId}")
public ResponseEntity<Response> deleteUser(@PathVariable("userId") String userId) {
    userService.deleteUser(userId);
    return ResponseEntity.ok(new Response(200,
      "The user has been deleted successfully", System.currentTimeMillis()));
}

現在，讓我們構建並運行該應用程序：

mvn spring-boot:run

8. 測試 API

現在，讓我們通過 cURL 創建一個 User：

curl -i --user user:password -d @request.json -H "Content-Type: application/json" 
     -H "Accept: application/json" http://localhost:8080/api/v1/users

這是個 request.json：

{
    "id":"1",
    "username":"navuluri",
    "email":"[email protected]"
}

Consequently, the response is:

HTTP/1.1 201
Location: /users/1
Content-Type: application/json
{
  "code":201,
  "message":"User created successfully",
  "timestamp":1632808055618
}

現在，讓我們配置我們的 StrictHttpFirewall 以拒絕所有 HTTP 方法的請求：

@Bean
public HttpFirewall configureFirewall() {
    StrictHttpFirewall strictHttpFirewall = new StrictHttpFirewall();
    strictHttpFirewall
      .setAllowedHttpMethods(Collections.emptyList());
    return strictHttpFirewall;
}

接下來，讓我們再次調用該API。由於我們配置了 StrictHttpFirewall 以限制所有HTTP方法，因此這次我們得到了一個錯誤。

在日誌中，我們有以下異常：

org.springframework.security.web.firewall.RequestRejectedException: 
The request was rejected because the HTTP method "POST" was not included
  within the list of allowed HTTP methods []

自 Spring Security v6.1.5 版本起，我們可以使用 RequestRejectedHandler 來自定義在出現 RequestRejectedException 時產生的 HTTP 狀態碼。

@Bean
public RequestRejectedHandler requestRejectedHandler() {
   return new HttpStatusRequestRejectedHandler();
}

請注意，使用 HttpStatusRequestRejectedHandler 時，默認的 HTTP 狀態碼是 400。但是，我們可以通過在 HttpStatusRequestRejectedHandler 類的構造函數中傳遞狀態碼來自定義它。

現在，讓我們重新配置 StrictHttpFirewall 以允許在 URL 中使用 \\ ，以及在 HTTP GET、POST、DELETE 和 OPTIONS 方法中。

strictHttpFirewall.setAllowBackSlash(true);
strictHttpFirewall.setAllowedHttpMethods(Arrays.asList("GET","POST","DELETE", "OPTIONS")

接下來，調用API：

curl -i --user user:password -d @request.json -H "Content-Type: application/json" 
     -H "Accept: application/json" http://localhost:8080/api\\v1/users

以下是響應:

{
  "code":201,
  "message":"User created successfully",
  "timestamp":1632812660569
}

最後，我們回到 StrictHttpFirewall 的原始嚴格功能，通過刪除 @Bean 聲明來實現。

接下來，讓我們嘗試使用可疑的 URL 調用的我們的 API：

curl -i --user user:password -d @request.json -H "Content-Type: application/json" 
      -H "Accept: application/json" http://localhost:8080/api/v1//users

curl -i --user user:password -d @request.json -H "Content-Type: application/json" 
      -H "Accept: application/json" http://localhost:8080/api/v1\\users

立即，以上所有請求均以錯誤日誌失敗：

org.springframework.security.web.firewall.RequestRejectedException: 
The request was rejected because the URL contained a potentially malicious String "//"

9. 結論

本文介紹了 Spring Security 防禦惡意 URL 的機制，這些 URL 可能導致路徑遍歷/目錄遍歷攻擊。

DefaultHttpFirewall 嘗試規範化惡意 URL。然而，StrictHttpFirewall 會通過拋出 RequestRejectedException 來拒絕這些請求。 StrictHttpFirewall 不僅保護我們免受路徑遍歷攻擊，還保護我們免受其他攻擊。 因此，強烈建議同時使用 StrictHttpFirewall 及其默認配置。