文章目录学习目标回顾自定义认证逻辑,增加验证码校验创建项目:security-verify创建类:UsernamePasswordProvider编写获取验证码接口配置URL白名单测试如何添加URL白名单DefaultFilterInvocationSecurityMetadataSource 源码剖析将过滤器 MenuFilterInvocationSecurityMetadataSource            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2023-09-29 19:02:10
                            
                                1056阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            三种配置方法configure(WebSecurity) 通过重载,配置Spring Security的Filter链 configure(HttpSecurity) 通过重载,配置如何通过拦截器保护请求,用来拦截请求,配置白名单和过滤 configure(AuthenticationManagerBuilder) 通过重载,配置user-detail服务,身份认证接口调用用户存储方式基于内存 a            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-03-12 20:25:49
                            
                                222阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            接口的权限控制、登陆校验以及白名单的设置在登陆成功之后,才可以去访问一些接口,否则其他的接口都是不可以访问状态,或者校验这个用户在发起请求的时候,是否是登陆状态,同时有些接口不需要登陆也可以访问,在这里做一个简单的记录。首先,在看到这些需求的时候,要在配置文件里面进行配置白名单,之后读取白名单的配置文件获取到白名单的列表,这样就可以拿到了那写接口不需要判断。其次,要做一个拦截器,在每一次前台发起请            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2023-06-05 16:50:59
                            
                                1419阅读
                            
                                                                             
                 
                
                             
         
            
            
            
            接口设计: 一 安全性问题安全性问题是一个接口必须要保证的规范。如果接口保证不了安全性,那么你的接口相当于直接暴露在公网环境中任人蹂躏。1.1 调用接口的先决条件-tokentoken,使用参数client_id,timestamp,client_sercet,state来获取token,作为系统调用的唯一凭证。token可以设置一次有效(这样安全性更高),也可以设置时效性,这里推荐设置            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2023-11-15 23:02:36
                            
                                33阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            用户认证流程客户端第一次发送请求,由于此前未登录认证,因此会被spring security过滤器拦截;若此次请求为登录请求,由于在SpringSecurity配置类声明的白名单(即不需要被认证的请求)里配置了登录路径,因此可以被接收。客户端接收登录请求后到service层处理登录业务,此请求参数DTO携带用户名和密码信息,然后把其声明在认证信息里面:Authentication authenti            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-03-22 16:38:07
                            
                                175阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            授权规则授权规则可以对请求方来源做判断和控制。授权规则基本规则授权规则可以对调用方的来源做控制,有白名单和黑名单两种方式。白名单:来源(origin)在白名单内的调用者允许访问黑名单:来源(origin)在黑名单内的调用者不允许访问点击左侧菜单的授权,可以看到授权规则:资源名:就是受保护的资源,例如/order/{orderId}流控应用:是来源者的名单,如果是勾选白名单,则名单中的来源被许可访问            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-01-19 23:41:51
                            
                                133阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            SpringSecurity介绍Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean,充分利用了Spring IoC,DI(控制反转Inversion of Control ,DI:Dependency Injection 依赖注入)和AOP(面向切面编程)功能,为应用系统提供声            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2023-11-13 14:39:19
                            
                                28阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            Java Security Develop1. 拒绝服务 DDOSxml外部实体攻击(阻塞)定义白名单自定义 EntityResolver 接口过滤 systemID文件资源释放:final InputStream in = new FileInputStream(file);
try {
use (in);
} finally {
{} in.close();
}
数据库资源释放
connect            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-03-14 21:05:44
                            
                                18阅读
                            
                                                                             
                 
                
                             
         
            
            
            
            1、网关路由过滤配置1.1、网关跨域配置spring:
  application:
    name: gateway
  # 微服务网关跨域配置
  cloud:
    gateway:
      globalcors:
        cors-configurations:
          '[/**]': # 匹配所有请求
            allowedOrigins:            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2023-11-07 10:00:06
                            
                                281阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            全局过滤器作用于所有的路由,不需要单独配置,我们可以用它来实现很多统一化处理的业务需求,比如权限认证,IP访问限制等等。接口定义类:org.springframework.cloud.gateway.filter.GlobalFilterpublic interface GlobalFilter {
    Mono<Void> filter(ServerWebExchange ex            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-07-05 21:50:34
                            
                                148阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            搞了很久终于把配置全部弄完了,从登录验权限,token缓存和验证,到资源白名单验证和openapi 一系列配置到此完成了
注意点:
1、springboot mvc 配置WebMvcConfig  不能继承 WebMvcConfigurationSupport,否则会和Security的映射冲突,如果需要配置,则需要继承接口 WebMvcConfigurer,就不会与他冲突资源白名单配置@Con            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-03-19 20:54:57
                            
                                429阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            前提:本文的重点是从实践的角度浅析Spring Security的实现原理。1. Security 配置文件【SpringSecurityConfig】通过继承【WebSecurityConfigurerAdapter】类实现对于特定权限拦截的配置,具体的常用配置如下配置文件注释。在系统接口中要自定义放行的URL可以通过配置的【getAnonymousUrl】获取具有特定注解的URL,并添加到配置            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-04-30 17:44:14
                            
                                85阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            1 缘起继gateway限流篇: 之后,继续补充网关统一鉴权的相关应用, 网关作为所有流量入口,承接所有请求,因此,可以在网关层统一做鉴权, 授权的放行,未授权的禁行,这里,可以添加黑白名单的功能, 白名单,无需鉴权,直接放行; 黑名单,直接禁行, 本文,即通过实战讲解网关鉴权以及黑白名单的使用。2 架构整体架构如下图所示, 由图可知,该体系共有三部分: (1)网关层:做统一鉴权,保护后面的服务;            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2023-11-07 09:37:44
                            
                                2433阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            0x00 前言这是 Cobalt Strike 学习笔记的最后一节,这节将来学习白名单申请与宏渗透的一些方法。0x01 白名单申请Win + R 打开运行窗口,输入 gpedit.msc ,来到 用户配置 -> 管理模板 -> 系统 处,打开 只允许指定的 Windows 程序在打开的窗口中,勾选已启用,之后点击显示按钮,在其中写入白名单的程序名称后,点击两次确定之后即可。            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-03-07 09:31:29
                            
                                37阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            一、Spring Boot配置文件用于修改Spring Boot默认配置application.ymlYAML(YAML Ain’t Markup Language)以数据为中心,比json,xml更适合配置文件;YAML:server:
  port: 8082XML:<server>
	<port>8082</port>
</server>数组的            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-05-29 10:18:17
                            
                                661阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            网关springcloud gateway上面的架构,会存在着诸多的问题:客户端多次请求不同的微服务,增加客户端代码或配置编写的复杂性认证复杂,每个服务都需要独立认证。存在跨域请求,在一定场景下处理相对复杂。网关可以做什么?路由转发。身份认证。统一跨域解决。黑白名单ip敏感词限流1. 常用的网关nginx:它可以当网关zuul:早期的微服务就是使用的该组件作为网关,但是它的底层使用的servlet            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-03-17 00:49:38
                            
                                131阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            上次小黑在文章中介绍了四种分布式一致性 Session 的实现方式,在这四种中最常用的就是后端集中存储方案,这样即使 web 应用重启或者扩容,Session 都没有丢失的风险。       今天我们就使用这种方式对 Session 存储方式进行改造,将其统一存储到 Redis 中。实现方案我们先来想一下,如果我们不依靠任何框架,自己如何实现后端 Session 集中存储。这里我们假设我们的网站除            
                
         
            
            
            
             二分查找与暴力查找。如果可能,我们的测试用例都会通过模拟实际情况来展示当前算法的必要性。这里该过程被称为白名单过滤。具体来说,可以想象一家信用卡公司,它需要检查客户的交易账号是否有效。为此,它需要:将客户的账号保存在一个文件中,我们称它为白名单;从标准输入中得到每笔交易的账号;使用这个测试用例在标准输出中打印所有与任何客户无关的账号,公司很可能拒绝此类交易。在一家有上百万客户的大公司中            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2023-08-24 14:07:50
                            
                                276阅读
                            
                                                                             
                 
                
                             
         
            
            
            
            一、简介1、Spring Cloud生态Spring开发团队在SpringBoot的基础上开发了Spring Cloud全家桶,也就是说我们需要使用的SpringBoot的所有组件都有了现成的解决方案,比如Eureka、Ribbon、OpenFeign、Hystrix、 Config、Zuul......该漏洞涉及的组件是Gateway(网关)2、Spring Cloud Gateway概念组成部            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-03-22 05:52:55
                            
                                43阅读
                            
                                                                             
                 
                
                                
                     
                                    
                             
         
            
            
            
            文章目录一、Spring boot整合Spring Cloud Gateway1. JavaBean 方式2. yml配置二、GateWay用法详解和案例实战1. Predicates(断言)和Filters(过滤器)用法1) Predicates2)Filters3) 实战2. 集成Spring Cloud Hystrix在微服务架构中实现服务降级3. 整合redis实现限流功能4. 整合eu            
                
                    
                        
                                                            
                                                                        
                                                                                        转载
                                                                                    
                            2024-01-04 09:00:03
                            
                                287阅读
                            
                                                                             
                 
                
                                
                    