Spring Security僅對保護應(yīng)用程序中的路徑感興趣

Spring Security 主要用于保護應(yīng)用程序中的特定路徑或者 URL，以確保只有經(jīng)過授權(quán)的用戶能夠訪問受保護的資源。對于其他路徑或者 URL，Spring Security 可能會忽略或者不處理。

忽略 contextPath

在 Servlet 容器中，contextPath 是指 Web 應(yīng)用程序的上下文路徑，即應(yīng)用程序部署的根路徑。這句話指出，Spring Security 在處理路徑時會忽略 contextPath。換句話說，即使請求的 URL 包含了應(yīng)用程序的上下文路徑，Spring Security 也會將其視為未經(jīng)過上下文路徑修飾的路徑來處理。

servletPath 和 pathInfo 的不確定性

在 Servlet 規(guī)范中，并沒有準(zhǔn)確定義 servletPath 和 pathInfo 的值將包含特定請求 URI 的內(nèi)容。這兩個值的含義可能會因不同的 Servlet 容器或者配置而有所不同。因此，對于某些特定的請求 URI，servletPath 和 pathInfo 的值可能會包含不同的內(nèi)容，這可能會影響 Spring Security 對請求路徑的處理。

綜上所述，這句話強調(diào)了 Spring Security 在處理路徑時的一些限制和不確定性，特別是與 Servlet 規(guī)范相關(guān)的部分。開發(fā)者在配置和使用 Spring Security 時需要考慮這些因素，并確保理解和處理路徑的方式與應(yīng)用程序的要求和預(yù)期一致。

Ant樣式路徑

在 Spring Security 中，Ant 樣式路徑指的是一種類似于 Ant 的路徑匹配模式，它允許使用通配符來匹配 URL 路徑。這種路徑匹配方式可以通過簡單的模式來匹配一系列的 URL 路徑，具有靈活性和便利性。

Ant 樣式路徑匹配的常見通配符

• ?匹配任意單個字符。
• *匹配任意數(shù)量的字符，包括空字符。
• `` 匹配任意數(shù)量的路徑段。

例如

• /admin/ 可以匹配 /admin/user、/admin/user/profile 等路徑。
• /user/*/profile 可以匹配 /user/john/profile、/user/jane/profile 等路徑。

AntPathRequestMatcher

是 Spring Security 中用于 Ant 樣式路徑匹配的工具類，提供了一些方法來執(zhí)行路徑匹配和比較。一些常用的方法包括

AntPathRequestMatcher(String pattern)

構(gòu)造一個 Ant 樣式路徑匹配器，使用指定的模式來匹配路徑。

matches(HttpServletRequest request)

檢查指定的 HTTP 請求是否與模式匹配。這個方法通常用于檢查當(dāng)前請求是否與配置的路徑匹配。

getPattern()

獲取當(dāng)前匹配器使用的模式。

setCaseSensitive(boolean caseSensitive)

設(shè)置是否區(qū)分大小寫，默認(rèn)為 true。

setTrimTokens(boolean trimTokens)

設(shè)置是否對路徑進行去空格處理，默認(rèn)為 true。

setPathMatcher(PathMatcher pathMatcher)

設(shè)置路徑匹配器，用于執(zhí)行路徑匹配，默認(rèn)使用 AntPathMatcher。

通過使用 AntPathRequestMatcher，可以方便地配置 Spring Security 權(quán)限控制規(guī)則，實現(xiàn)對特定路徑的訪問控制。

HttpFirewall

HttpFirewall 是 Spring Security 中用于防止 HTTP 請求攻擊的接口，主要用于對 HTTP 請求中的特殊字符進行過濾和處理，以防止惡意用戶利用這些特殊字符進行攻擊。

HttpFirewall 接口提供的功能

對特殊字符進行過濾

HttpFirewall 可以對 HTTP 請求中的特殊字符進行過濾，包括 URL 路徑、查詢參數(shù)、請求頭等，以防止惡意用戶利用這些特殊字符進行攻擊，例如跨站腳本（XSS）攻擊、路徑遍歷攻擊等。

規(guī)范化 URL 路徑

HttpFirewall 可以對 URL 路徑進行規(guī)范化處理，以確保路徑的格式正確且安全。例如，可以移除路徑中多余的斜杠、解碼路徑中的 URL 編碼等。

處理請求參數(shù)

HttpFirewall 可以對 HTTP 請求中的查詢參數(shù)進行處理，包括解碼 URL 編碼、過濾特殊字符等，以確保參數(shù)的安全性。

自定義策略

HttpFirewall 允許用戶自定義特殊字符過濾和處理的策略，以滿足不同場景下的安全需求。

HttpFirewall 接口的常用實現(xiàn)類

StrictHttpFirewall

嚴(yán)格的 HTTP 防火墻，對 URL 路徑和查詢參數(shù)進行嚴(yán)格的字符過濾和處理，確保符合 HTTP 規(guī)范和安全要求。

DefaultHttpFirewall

默認(rèn)的 HTTP 防火墻，提供一些基本的安全防護功能，但不如嚴(yán)格防火墻嚴(yán)格。

用戶自定義實現(xiàn)類

用戶可以根據(jù)自身的需求，實現(xiàn) HttpFirewall 接口來自定義特殊字符過濾和處理的策略，以滿足特定的安全需求。

通過使用 HttpFirewall 接口及其實現(xiàn)類，可以有效地防止 HTTP 請求攻擊，提高應(yīng)用程序的安全性。

轉(zhuǎn)發(fā)HttpFirewall產(chǎn)生的安全日志

HttpFirewall 接口本身并沒有提供專門用于日志轉(zhuǎn)發(fā)的方法。它主要是用于防止 HTTP 請求攻擊，例如路徑遍歷攻擊、跨站腳本攻擊等。它的主要責(zé)任是對 HTTP 請求中的特殊字符進行過濾和處理，以確保請求的安全性。

如果我們想要將 HttpFirewall 的操作記錄到日志中，我們可以通過以下幾種方式實現(xiàn)

使用 AOP

利用 Spring 的 AOP 功能，為 HttpFirewall 的實現(xiàn)類添加切面，在關(guān)鍵的操作點前后記錄日志。

自定義實現(xiàn)類

創(chuàng)建一個自定義的 HttpFirewall 實現(xiàn)類，在其中添加日志記錄的邏輯。

使用代理類

創(chuàng)建一個代理類，實現(xiàn) HttpFirewall 接口，并在代理類中添加日志記錄的邏輯，然后將請求轉(zhuǎn)發(fā)給真正的 HttpFirewall 實現(xiàn)類。

這些方法都可以實現(xiàn)將 HttpFirewall 的操作記錄到日志中，我們可以根據(jù)自己的需求和項目的實際情況選擇適合的方式進行實現(xiàn)。