文章目录一、项目场景二、方案思路三、实施流程1.引入库2.编写代码四、拓展 一、项目场景在上线的项目中，需要添加一个定时授权的功能，对系统的进行授权认证，当授权过期时提示用户需要更新授权或获取授权，不让用户无限制的使用软件。二、方案思路在查阅相关资料进行整理后，对该场景做了一套解决方案，大致的思路如下：使用smart-license-1.0.3工具生成校验证书文件（会根据输入的时长和密码进行授权
一、用户认证授权在系统中最基础的就是用户登陆，一般系统用到的登陆有2种，分别是账号密码和手机验证码。本笔记以账号密码登陆为例，手机验证码登陆等整个框架基本搭好后再写。1.1 需求分析用户使用一个系统其实就是访问系统里的每一个功能，在浏览器中对应的就是一个个网页。一个正常的系统，那么肯定存在有些网页不需要权限，所有人都能访问，例如首页，登录页面，找回密码页面等；有些页面则需要用户登陆后才能访问，例如
转载
2024-03-03 22:08:12
146阅读
文章目录前言模块结构设计思路配置maven配置WebSecurityConfigurerAdapter配置重写configure(HttpSecurity http)配置AuthenticationManager认证实现认证器的实现数据库账号密码实现钩子实现加解密实现授权实现鉴权过滤器实现签名实现接口权限实现如何使用FW-SECURITY 前言前三张已经把应用框架的结构和最核心的Core模块已经
转载
2024-04-01 18:36:48
48阅读
序 中途换换脑子，顺便为以后做储备。看了下license，看到个比较新的smart license工具包。就简单弄弄试试。 一、使用 我是先看的java引入，现在凡是不支持springboot、maven引包的，我基本也不想看。其实也是不想破坏目前的springboot框架。 引包：<!-- smart-license支持 -->
<dependency>
&
转载
2024-05-04 19:04:17
164阅读
一、漏洞成因： spring cloud在低版本下的 SnakeYAML 依赖组件存在反序列漏洞（所以有的利用叫：springcloud-snakeyaml-rce）二、利用条件 Spring boot版本范围： Spring Boot 2.X 全部无法利用 Spring Boot <=1.4 可以利用成功 Sp
转载
2023-05-30 13:55:03
830阅读
问题场景：线上页面安全测试反馈存在SpringBoot Actuator未授权访问问题。简单说就是访问https://xxx.xx.x/actuator/env（xxx.xx.x，页面调用接口域名）时，会返回全部环境属性。  
转载
2024-03-23 20:47:05
249阅读
前言Spring Security核心功能, 认证和授权, 本章便是核心章节, 授权, 需要关注, 关注, 再关注授权是什么?首先到底什么是授权, 通俗易懂版:你有什么权限以支持你去做哪些事, 操作哪些资源认证和授权是怎么配合工作的?小白: “前面我们知道, 认证成功之后会将数据存储在SecurityContextHolder上下文中, 那么这些用户信息怎么在授权阶段使用?”小黑: “在 Spri
转载
2024-04-23 10:58:30
85阅读
SpringSecurity核心功能：认证、
授权、攻击防护（防止伪造身份）涉及的依赖如下：<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</d
转载
2024-01-02 16:08:30
196阅读
思路：这个临时授权有简单有难的，我做的算是最简单的，能实现一些基本的功能，只有在指定的时间段内可以访问临时授权思路1.数据库设计，在用户表添加三个字段：start_date（开始时间） ，end_date（结束时间），authorizer（授权人）2.超级管理员admin登录，给某一个用户授予临时权限（传递参数：临时授权人 id，开始时间start_date，结束时间 end_date）3，从消息
转载
2024-03-01 12:43:45
57阅读
springboot actuator未授权访问 原理： 未授权访问可以理解为需要授权才可以访问的页面由于错误的配置等其它原因，导致其它用户可以直接访问，从而引发各种敏感信息泄露 漏洞描述 Actuator是Spring Boot提供的服务监控和管理中间件，默认配置会出现接口未授权访问，部分接口会泄 ...
转载
2021-07-24 16:01:00
6320阅读
2评论
我们常用的功能，除了post和get，还有put和delete，这篇文章就介绍一下这个put的基本用法。 页面跳转和回显 1. 首先，我们之前的页面已经将添加和修改的按钮都做好了，那么如何实现这些按钮的功能呢，来看代码（先是list.html的跳转）：注意一下编辑的hred，我采用了拼接的方式，因为我们修改页之前也说过，请求的路径是/emp/{id}这种格式的，
转载
2024-04-10 15:10:29
26阅读
接口的接入授权一般都有一套固定的模式，请求方通过对相关参数进行加密签名，接收方对接收到的参数信息进行同样的签名，并判断两个签名是否相同，以此来判断请求的合法性。与授权有关的参数（一般包括请求时间，请求序号，请求接入id，请求签名等）可以和业务参数一起传递，也可以将授权相关参数通过请求头的方式传递。将授权相关参数通过请求头进行传递，并且通过interceptor和filter技术，在controll
转载
2024-02-18 09:47:59
21阅读
我觉得一个拦截器加上其他的一些处理就能满足项目的需求，我又何必去多用一个框架呢，我将权限管理分为三块：资源权限：将url当做资源，可以给每个账号动态划分Url权限，访问不同的URl；操作权限：将所有URL分为增、删、改、查4种操作权限，给用户分配对应的操作权限，如某个用户只有查操作权限那么他就无法做其他的操作；角色权限：系统有多个角色，每个角色的权限都不同，如一个管理后台有着账号管理模块、商品模块
转载
2024-04-09 12:22:57
36阅读
SpringBoot应用监控Actuator使用的安全隐患,一不小心线上就中招了，分分钟就能搞死你的线上服务，如果是eureka，则会发现eureka不知觉的就把你剔除了；Actuator 简介 如上所言，actuator 是 springboot 提供的用来对应用系统进行自省和监控的功能模块。其提供的执行器端点分为两类：原生端点和用户自定义扩展端点，原生端点主
转载
2024-04-15 13:09:11
221阅读
1.写在前面目前SpringBoot得框架，越来越广泛，大多数中小型企业，在开发新项目得时候。后端语言使用java得情况下，首选都会使用到SpringBoot。在很多得一些开源得框架中，例如: ruoyi若以，这些。不知道是出于什么原因？我们都会在这些框架中得pom文件中找到SpringBoot Actuator的依赖。嘿，这Actuator估计很多人都没有真真实实使用过，但是就会
原创
2022-12-09 09:06:39
1493阅读
记录一次Redis未授权getshell几种常见方法一.redis未授权访问简介Redis默认情况下，端口是6379，默认配置无密码./redis-server 使用默认配置
./redis-server ../redis.conf 使用自定义配置造成未授权访问原因：1.未开启登录验证，并且把IP绑定到0.0.0.0 2.未开启登录验证，没有设置绑定IP，protected-mode关闭二.Red
转载
2023-09-28 16:10:25
567阅读
1.写在前面目前SpringBoot得框架，越来越广泛，大
原创
2022-10-22 01:21:55
1255阅读
【SpringSecurity】授权操作，处理权限不足异常1. 授权操作1.1 开启授权的注解支持1.2 在注解支持对应类或者方法上添加注解2. 处理权限不足异常2.1 方式一：在spring-security.xml配置文件中处理2.2 方式二：在web.xml中处理2.3 方式三：编写异常处理器 1. 授权操作SpringSecurity可以通过注解的方式来控制类或者方法的访问权限。注解需要
转载
2024-06-25 20:28:14
77阅读
本文详细地介绍了常见未授权访问漏洞及其利用，具体漏洞列表如下：Jboss 未授权访问Jenkins 未授权访问ldap未授权访问Redis未授权访问elasticsearch未授权访问MenCache未授权访问Mongodb未授权访问Rsync未授权访问Zookeeper未授权访问Docker未授权访问1、Jboss未授权访问漏洞原因：在低版本中，默认可以访问Jboss web控制台(http:/
转载
2023-10-23 15:26:06
167阅读
SpringBoot静态资源目录前言介绍在web开发中，静态资源的访问是必不可少的，如：图片、js、css 等资源的访问。SpringBoot对静态资源访 问提供了很好的支持，基本使用默认配置就能满足开发需求。在传统的web项目中， 静态资源放在项目的 WebRoot\WEB-INF目录下。但是，SpringBoot框架中，静态资源又该放在什么位置呢？SpringBoot框架是 个“约定大于配置”
转载
2024-02-19 11:50:05
37阅读
