【安全漏洞】SpringBoot + SpringSecurity CORS跨域资源共享配置

2024-09-05 17:52
文章标签 java 配置 springboot spring 跨域 springsecurity 资源共享 安全漏洞 cors

本文主要是介绍【安全漏洞】SpringBoot + SpringSecurity CORS跨域资源共享配置，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

SpringBoot CORS跨域资源共享

文章目录

  • SpringBoot CORS跨域资源共享
  • 前言
  • 一、什么是CORS？
  • 二、配置CORS方法
    • 1.nginx中配置跨域资源访问策略
    • 2.springSecurity 过滤器链中配置跨域资源访问策略
    • 3.springBoot 中配置跨域资源访问策略
  • 总结

前言

一个健壮的系统上线时，以及后续验收过程中，通常都会做系统安全测评，这是信息系统正式上线安全运行的重要环节。我们大概率会遇到一个叫：跨域资源共享漏洞的漏洞要求整改，具体描述大概是：“经测试发现服务器存在不安全的CORS配置，存在恶意跨域请求和内部信息泄露的风险。”今天我们就来了解一下这个CROS漏洞，并记录一下在整合了springSecurity这一套安全框架下的springboot系统中如何在后端过滤器中通过正确注册WebMvcConfigurer bean来配置CORS的全局设置，实现对非白名单访问源的拦截。

一、什么是CORS？

CORS，全称是“跨源资源共享”（Cross-Origin Resource Sharing），是一种Web应用程序的安全机制，用于控制不同源的资源之间的交互。
在Web应用程序中，CORS定义了一种机制，通过该机制，浏览器能够限制哪些外部网页可以访问来自不同源的资源。源由协议、域名和端口组成。当一个网页请求另一个网页上的资源时，浏览器会检查请求是否符合CORS规范，以确定是否允许该请求。
CORS的工作原理是：当浏览器发送一个跨域请求时，它会附加一些额外的头部信息到请求中，这些头部信息包含了关于请求的来源和目的的信息。服务器可以检查这些头部信息并决定是否允许该请求。如果服务器允许请求，它会返回一个响应，其中包含一个名为“Access-Control-Allow-Origin”的头部信息，该信息指定了哪些源可以访问该资源。浏览器会检查返回的“Access-Control-Allow-Origin”头部信息，以确定是否允许该跨域请求。通过使用CORS，开发人员可以控制哪些外部网页可以访问他们的资源，从而提高应用程序的安全性。

二、配置CORS方法

1.nginx中配置跨域资源访问策略

nginx中配置跨域资源访问策略，在之前的博客中已经写过具体配置方法了，需要的朋友直接移步以下博客链接查看：
https://blog.csdn.net/weixin_42925623/article/details/134548502

2.springSecurity 过滤器链中配置跨域资源访问策略

在Spring框架中，我们可以在引入Spring Security依赖后，对Security的HttpSecurity进行设置，来开启CORS（跨域/源资源共享），同时能指定只被部分域/源、部分方法、部分头部信息访问资源。
（1）SecurityConfig中过滤器链的配置示例：

@Bean@Order(3)public SecurityFilterChain defaultFilterChain(HttpSecurity http, IGuavaCacheService guavaCacheService, IUsersService usersService, ICaptchaApi captchaApi, JwtEncoder jwtEncoder, JwtDecoder jwtDecoder) throws Exception {http.authorizeHttpRequests(requestMatcherRegistryCustomizer).csrf().disable()//.cors().disable()//关闭cros配置//.cors(withDefaults())//默认cros配置允许所有来源访问.cors().and()//开启cros配置.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authenticationProvider(jwtAuthenticationProvider(jwtDecoder))//在UsernamePasswordAuthenticationFilter前边添加自定义用户认证处理器.addFilterBefore(new CustomUserAuthenticationFilter(authProperties.getLoginProcessingPath(), guavaCacheService.userLockService()), UsernamePasswordAuthenticationFilter.class).addFilterBefore(new CaptAuthenticationFilter(captchaApi, authProperties.getLoginProcessingPath()), CustomUserAuthenticationFilter.class)//主要用于控制UsernamePasswordAuthenticationFilter行为.formLogin()//login静态页面地址，需要和前端静态页面保持一致.loginPage(authProperties.getFrontLoginUrl()).loginProcessingUrl(authProperties.getLoginProcessingPath()).permitAll().successHandler(new ResultAuthenticationSuccessHandler(usersService,new JwtUtils(jwtEncoder), authProperties.getJwtLifetime(), authProperties.getIssuer(), macService)).failureHandler(new ResultAuthenticationFailedHandler(guavaCacheService.userLockService())).and()//处理业务层的认证异常和权限问题，主要用于控制ExceptionTranslationFilter行为.exceptionHandling().authenticationEntryPoint(new RedirectAuthenticationEntryPoint(authProperties.getFrontLoginUrl())).and()//jwt认证.oauth2ResourceServer().authenticationEntryPoint(new BearerTokenAuthenticationEntryPoint()).jwt().decoder(jwtDecoder);//让jwt过滤器共用认证器DefaultSecurityFilterChain build = http.build();return build;}

重点在于cors 这一块语法配置：
//关闭cros配置
.cors().disable()
//使用默认cros配置允许所有来源访问
.cors(withDefaults())
//开启cros配置，配置规则以自定义注册的cros配置为准
.cors().and()

（2）使用addCorsMappings方法来配置CORS
在Spring框架中，我们可以使用addCorsMappings(CorsRegistry registry)方法来配置CORS。
这个方法接收一个CorsRegistry对象，我们可以在这个对象中添加我们的路径和对应的CORS配置。
以下是addCorsMappings方法来配置CORS示例代码：

package com.dg.dp.user.auth.server.config;import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;/*** @Author：* @Date：2024/9/4 18:16* CORS跨域资源共享允许访问源*/
@Configuration
public class WebConfig implements WebMvcConfigurer {@Value("${allow.origin}")String allowOrigin;@Overridepublic void addCorsMappings(CorsRegistry registry) {String[] allowDomain = allowOrigin.split(",");// 允许所有路径的跨域请求registry.addMapping("/**")// 配置允许的访问源.allowedOrigins(allowDomain)// 允许的请求方法.allowedMethods("GET", "POST", "PUT", "DELETE", "HEAD", "OPTIONS")// 允许的请求头.allowedHeaders("*")// 是否允许携带凭证.allowCredentials(true);}
}

其中，allowOrigin为yml配置文件中配置的访问源白名单：

#CORS跨域资源共享允许访问源白名单,多个访问源用逗号分隔
allow:origin: http://example.com,http://127.1.2.3:28080

.allowedOrigins（）配置允许访问源可以为多个，可以放到字符串数组塞进去；
.addMapping(“/**”)表示允许所有路径的跨域请求；
WebMvcConfigurer 需要pom.xml文件引入依赖：

        <dependency><groupId>org.springframework</groupId><artifactId>spring-webmvc</artifactId></dependency>

（3）postman测试配置后的效果
同域下的请求（即Origin配置域名与接口路径前缀域名相同），不存在跨域问题，所以直接可以访问：
在这里插入图片描述
注意，如果请求的地址前缀是ip:port，那需要请求头配置的Origin值的ip:port跟接口请求路径中的ip端口一模一样，如果不一样会被认为是跨域请求，这时候如果代码的allowedOrigins配置白名单也没有该地址，就会被当做异常请求被拦截。
请求头携带的Origin中ip和接口中ip一致，端口不一致会被拦截：
在这里插入图片描述
请求头携带的Origin中配置的域名在代码allowedOrigins配置白名单中，会被认为是可信访问源而被放行：
在这里插入图片描述
在这里插入图片描述

请求头携带的Origin中配置的域名不在代码allowedOrigins配置白名单中，也不与接口前缀域名相同时，会被认为是非法访问源而被拦截掉：
在这里插入图片描述

3.springBoot 中配置跨域资源访问策略

如果springBoot项目没有引入springSecurity框架，这个时候，以上使用addCorsMappings(CorsRegistry registry)方法，或者接下来要讲的，创建一个 CorsFilter 的 Bean 并将其添加到 Spring 容器中，都可以实现cors配置。
addCorsMappings方法来配置CORS示例代码：

package com.dg.dp.user.auth.server.config;import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;/*** @Author：* @Date：2024/9/4 18:16* CORS跨域资源共享允许访问源*/
@Configuration
public class WebConfig implements WebMvcConfigurer {@Value("${allow.origin}")String allowOrigin;@Overridepublic void addCorsMappings(CorsRegistry registry) {String[] allowDomain = allowOrigin.split(",");// 允许所有路径的跨域请求registry.addMapping("/**")// 配置允许的访问源.allowedOrigins(allowDomain)// 允许的请求方法.allowedMethods("GET", "POST", "PUT", "DELETE", "HEAD", "OPTIONS")// 允许的请求头.allowedHeaders("*")// 是否允许携带凭证.allowCredentials(true);}
}

创建一个配置类CorsConfig，并CorsFilter corsFilter()方法作为bean注入到spring 容器，代码示例如下：

package com.digitalgd.sasacdataboard.config;import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;/*** @Author：* @Date：2024/9/5 14:55*/@Configuration
public class CorsConfig {@Beanpublic CorsFilter corsFilter() {CorsConfiguration corsConfiguration = new CorsConfiguration();corsConfiguration.addAllowedOrigin("http://example.com");corsConfiguration.addAllowedMethod("*");corsConfiguration.addAllowedHeader("*");corsConfiguration.setAllowCredentials(true);UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();source.registerCorsConfiguration("/**", corsConfiguration);return new CorsFilter(source);}}

总结

以上就是CROS跨域资源共享安全漏洞修复方法的全部内容，欢迎评论区交流学习！

这篇关于【安全漏洞】SpringBoot + SpringSecurity CORS跨域资源共享配置的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/1139659。

相关文章

Java中流式并行操作parallelStream的原理和使用方法

Java中流式并行操作parallelStream的原理和使用方法

《Java中流式并行操作parallelStream的原理和使用方法》本文详细介绍了Java中的并行流（parallelStream）的原理、正确使用方法以及在实际业务中的应用案例,并指出在使用并行流... 目录Java中流式并行操作parallelStream0. 问题的产生1. 什么是parallelS
阅读更多...
MySQL数据库双机热备的配置方法详解

MySQL数据库双机热备的配置方法详解

《MySQL数据库双机热备的配置方法详解》在企业级应用中,数据库的高可用性和数据的安全性是至关重要的,MySQL作为最流行的开源关系型数据库管理系统之一,提供了多种方式来实现高可用性,其中双机热备（M... 目录1. 环境准备1.1 安装mysql1.2 配置MySQL1.2.1 主服务器配置1.2.2 从
阅读更多...
Java中Redisson 的原理深度解析

Java中Redisson 的原理深度解析

《Java中Redisson的原理深度解析》Redisson是一个高性能的Redis客户端,它通过将Redis数据结构映射为Java对象和分布式对象,实现了在Java应用中方便地使用Redis,本文... 目录前言一、核心设计理念二、核心架构与通信层1. 基于 Netty 的异步非阻塞通信2. 编解码器三、
阅读更多...
SpringBoot基于注解实现数据库字段回填的完整方案

SpringBoot基于注解实现数据库字段回填的完整方案

《SpringBoot基于注解实现数据库字段回填的完整方案》这篇文章主要为大家详细介绍了SpringBoot如何基于注解实现数据库字段回填的相关方法,文中的示例代码讲解详细,感兴趣的小伙伴可以了解... 目录数据库表pom.XMLRelationFieldRelationFieldMapping基础的一些代
阅读更多...
一篇文章彻底搞懂macOS如何决定java环境

一篇文章彻底搞懂macOS如何决定java环境

《一篇文章彻底搞懂macOS如何决定java环境》MacOS作为一个功能强大的操作系统,为开发者提供了丰富的开发工具和框架,下面：本文主要介绍macOS如何决定java环境的相关资料,文中通过代码... 目录方法一：使用 which命令方法二：使用 Java_home工具（Apple 官方推荐）那问题来了，
阅读更多...
Java HashMap的底层实现原理深度解析

Java HashMap的底层实现原理深度解析

《JavaHashMap的底层实现原理深度解析》HashMap基于数组+链表+红黑树结构,通过哈希算法和扩容机制优化性能,负载因子与树化阈值平衡效率,是Java开发必备的高效数据结构,本文给大家介绍... 目录一、概述：HashMap的宏观结构二、核心数据结构解析1. 数组（桶数组）2. 链表节点（Node
阅读更多...
Java AOP面向切面编程的概念和实现方式

Java AOP面向切面编程的概念和实现方式

《JavaAOP面向切面编程的概念和实现方式》AOP是面向切面编程,通过动态代理将横切关注点（如日志、事务）与核心业务逻辑分离,提升代码复用性和可维护性,本文给大家介绍JavaAOP面向切面编程的概... 目录一、AOP 是什么？二、AOP 的核心概念与实现方式核心概念实现方式三、Spring AOP 的关
阅读更多...
详解SpringBoot+Ehcache使用示例

详解SpringBoot+Ehcache使用示例

《详解SpringBoot+Ehcache使用示例》本文介绍了SpringBoot中配置Ehcache、自定义get/set方式,并实际使用缓存的过程,文中通过示例代码介绍的非常详细,对大家的学习或者... 目录摘要概念内存与磁盘持久化存储：配置灵活性：编码示例引入依赖：配置ehcache.XML文件：配置
阅读更多...
Java 虚拟线程的创建与使用深度解析

Java 虚拟线程的创建与使用深度解析

《Java虚拟线程的创建与使用深度解析》虚拟线程是Java19中以预览特性形式引入,Java21起正式发布的轻量级线程,本文给大家介绍Java虚拟线程的创建与使用,感兴趣的朋友一起看看吧... 目录一、虚拟线程简介1.1 什么是虚拟线程？1.2 为什么需要虚拟线程？二、虚拟线程与平台线程对比代码对比示例：三
阅读更多...
Linux云服务器手动配置DNS的方法步骤

Linux云服务器手动配置DNS的方法步骤

《Linux云服务器手动配置DNS的方法步骤》在Linux云服务器上手动配置DNS（域名系统）是确保服务器能够正常解析域名的重要步骤,以下是详细的配置方法,包括系统文件的修改和常见问题的解决方案,需要... 目录1. 为什么需要手动配置 DNS？2. 手动配置 DNS 的方法方法 1：修改 /etc/res
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2