springboot-security

# Spring Boot 安全审查

在添加认证、处理输入、创建端点或处理密钥时使用。

## 身份认证（Authentication）

- 优先使用无状态 JWT 或带有撤回列表（Revocation List）的不透明令牌（Opaque Tokens）
- 为会话（Session）使用 `httpOnly`、`Secure`、`SameSite=Strict` 的 Cookie
- 使用 `OncePerRequestFilter` 或资源服务器验证令牌

```java
@Component
public class JwtAuthFilter extends OncePerRequestFilter {
  private final JwtService jwtService;

  public JwtAuthFilter(JwtService jwtService) {
    this.jwtService = jwtService;
  }

  @Override
  protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response,
      FilterChain chain) throws ServletException, IOException {
    String header = request.getHeader(HttpHeaders.AUTHORIZATION);
    if (header != null && header.startsWith("Bearer ")) {
      String token = header.substring(7);
      Authentication auth = jwtService.authenticate(token);
      SecurityContextHolder.getContext().setAuthentication(auth);
    }
    chain.doFilter(request, response);
  }
}
```

## 授权（Authorization）

- 启用方法级安全：`@EnableMethodSecurity`
- 使用 `@PreAuthorize("hasRole('ADMIN')")` 或 `@PreAuthorize("@authz.canEdit(#id)")`
- 默认拒绝（Deny by default）；仅暴露必要的权限范围（Scopes）

## 输入校验（Input Validation）

- 在控制器（Controller）上配合使用 Bean Validation 与 `@Valid`
- 在 DTO 上应用约束：`@NotBlank`、`@Email`、`@Size` 以及自定义校验器
- 在渲染之前，通过白名单对任何 HTML 进行净化（Sanitize）

## 防止 SQL 注入

- 使用 Spring Data 存储库（Repositories）或参数化查询
- 对于原生查询，使用 `:param` 绑定；严禁拼接字符串

## CSRF 防护

- 对于基于浏览器会话的应用，保持启用 CSRF；在表单/请求头中包含令牌
- 对于使用 Bearer 令牌的纯 API，禁用 CSRF 并依赖无状态认证

```java
http
  .csrf(csrf -> csrf.disable())
  .sessionManagement(sm -> sm.sessionCreationPolicy(SessionCreationPolicy.STATELESS));
```

## 密钥管理（Secrets Management）

- 源代码中不保留密钥；从环境变量或 Vault 加载
- 确保 `application.yml` 中没有凭据；使用占位符
- 定期轮换令牌和数据库凭据

## 安全响应头（Security Headers）

```java
http
  .headers(headers -> headers
    .contentSecurityPolicy(csp -> csp
      .policyDirectives("default-src 'self'"))
    .frameOptions(HeadersConfigurer.FrameOptionsConfig::sameOrigin)
    .xssProtection(Customizer.withDefaults())