angularjs – 无法理解JWT和Java(Spring Boot).这个应用程序是否安全？

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了angularjs – 无法理解JWT和Java(Spring Boot).这个应用程序是否安全？，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含2629字，纯文字阅读大概需要4分钟。

内容图文

我正在遵循Udemy课程,试图构建我的第一个Spring Boot应用程序.他们使用JJWT来实现无状态身份验证,而不是使用Spring Security.

前端是Angular,因为它在自己的服务器上运行,所以CORS用于打开所有内容,以便Angular应用程序可以访问Java后端API.

我担心这会打开CSRF或其他安全漏洞的大门.

经过一番挖掘后,我找到了类似Udemy课程使用here的代码,但我对安全性知之甚少,不知道它是否足够.

有问题的代码如下：

过滤：

public class JwtFilter extends GenericFilterBean {

@Override
public void doFilter(final ServletRequest req,
                     final ServletResponse res,
                     final FilterChain chain) throws IOException, ServletException {
    final HttpServletRequest request = (HttpServletRequest) req;

    final String authHeader = request.getHeader("Authorization");
    if (authHeader == null || !authHeader.startsWith("Bearer ")) {
        throw new ServletException("Missing or invalid Authorization header.");
    }

    final String token = authHeader.substring(7); // The part after "Bearer "

    try {
        final Claims claims = Jwts.parser().setSigningKey("secretkey")
            .parseClaimsJws(token).getBody();
        request.setAttribute("claims", claims);
    }
    catch (final SignatureException e) {
        throw new ServletException("Invalid token.");
    }

    chain.doFilter(req, res);
}

Cors Config：

@Configuration
public class CorsConfig {

    @Bean
    public CorsFilter corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowCredentials(true); //usually want this
        config.addAllowedOrigin("*");//not sure if secure?
        config.addAllowedHeader("*");
        config.addAllowedMethod("GET");
        config.addAllowedMethod("PUT");
        config.addAllowedMethod("POST");
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }
}

过滤器添加到主应用程序类：

@SpringBootApplication
public class BackendApplication {

@Bean
public FilterRegistrationBean jwtFilter() {
    final FilterRegistrationBean registrationBean = new FilterRegistrationBean();
    registrationBean.setFilter((Filter) new JwtFilter());
    registrationBean.addUrlPatterns("/rest/*");

    return registrationBean;
}

public static void main(String[] args) {
    SpringApplication.run(BackendApplication.class, args);
}
}

那么这种设置是否足够安全,可以用于生产代码,还是需要更强大的解决方案？

或者是否有更好的方法来完成无状态身份验证？如果他们都在同一个域上运行我就不需要CORS吧？

解决方法:

出于安全考虑,请勿使用JWT. JWT包含除随机密钥以外的信息,这些信息不应出现在授权标头中.虽然我们可以签署JWT令牌,但我们应该避免它.而是在数据库中保存额外信息,并在服务器端收到令牌时进行查询,以检查令牌的真实性.此外,如果攻击者利用了算法类型none,则可以证明是安全灾难.使用简单随机字符串作为标记.相当简单,更安全.机密信息驻留在数据库中而不是令牌中,我们都知道数据库非常安全.

内容总结

以上是互联网集市为您收集整理的angularjs – 无法理解JWT和Java(Spring Boot).这个应用程序是否安全？全部内容，希望文章能够帮你解决angularjs – 无法理解JWT和Java(Spring Boot).这个应用程序是否安全？所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

---