Spring Security综合实战与安全加固详解
定位：第 08 篇，汇总认证授权方案设计、纵深防御加固清单、常见漏洞与踩坑、安全审计与可观测
适用版本：Spring Security 6.x（Spring Boot 3.x）
目录
一、方案设计
按应用形态选择认证授权方案：
| 场景 | 方案 | 要点 |
|---|---|---|
| 单体/管理后台 | 表单登录 + 会话 + CSRF | 简单可靠，吊销即时 |
| 前后端分离 | JWT 无状态 | STATELESS、关 CSRF、双 Token |
| 微服务 | 网关统一认证 + 资源服务器验签 | 入口集中鉴权，服务间 Token 传递 |
| 多应用/多端 | OAuth2/OIDC SSO | 统一认证中心 |
| 混合 | 多 SecurityFilterChain | 按路径分链 |
微服务的典型形态：
外部请求 → 网关（登录/鉴权/签发或验证 Token）
→ 内部服务（资源服务器验签，不重复实现登录）
服务间调用 → 客户端凭证模式 Token 或透传用户 Token决策原则：认证入口集中、授权就近执行、状态尽量少。
二、安全加固清单
2.1 认证侧
① 密码：BCrypt 强哈希、最小长度策略、不存明文
② 防爆破：失败计数 + 临时锁定/验证码
③ 错误信息统一（不区分用户不存在/密码错，02 篇）
④ 关键场景多因素（短信/ TOTP）
⑤ 登出清理会话与令牌（黑名单/版本标记）2.2 授权侧
① 最小权限：默认拒绝，按需授予
② 数据归属校验（水平越权防护，方法级 @PreAuthorize）
③ 管理接口独立保护（角色 + 网络隔离 + 审计）
④ 权限变更走流程，留审计记录2.3 传输与配置
① 全站 HTTPS（HSTS 头）
② 安全响应头保持默认（04 篇）
③ Actuator 敏感端点鉴权/内网（BT-06）
④ 敏感配置不进代码库（密钥/密码走密钥管理）
⑤ 依赖漏洞持续跟进（CVE 扫描）2.4 会话与令牌
① 会话超时 + 空闲失效
② 会话固定防护保持默认（换 ID）
③ Token 短有效期 + 安全存储（防 XSS 读取）
④ 并发会话限制三、常见漏洞与踩坑
3.1 越权（最高频）
| 类型 | 现象 | 防护 |
|---|---|---|
| 垂直越权 | 普通用户访问管理员接口 | 角色/权限校验（授权规则全覆盖） |
| 水平越权 | 用户 A 操作用户 B 的数据 | 数据归属校验（@PreAuthorize 比对归属），不只信参数 |
水平越权是 API 安全的头号问题------接口有登录校验但没归属校验，改个 ID 就能访问他人数据。
3.2 认证绕过
| 场景 | 根因 |
|---|---|
| 未登录访问到受保护接口 | 放行路径过宽（/**）、规则顺序错、匹配器不匹配该路径 |
| 过滤器顺序错 | 自定义认证过滤器位置不对，或异常未被处理 |
| 路径变体绕过 | /api/x 与 /api/x/、编码路径等匹配不一致 |
3.3 Token 问题
密钥泄露（硬编码/明文配置）→ 任何人都能伪造 Token
Token 不过期或过长 → 泄露窗口大
前端存 localStorage → 易被 XSS 窃取
不验签名/不验过期 → 伪造可用3.4 配置错误
permitAll 泛化：图省事放行一大片
CSRF 误关：有状态应用关了 CSRF
Actuator 公网暴露：env/heapdump 泄露
默认随机密码上线：忘了配真实认证源3.5 信息泄露
异常堆栈返回客户端（04 篇全局异常要兜底）
登录接口响应差异（用户名枚举）
敏感信息进日志（密码/Token 打印）四、审计与可观测
4.1 安全事件
监听 AuthenticationSuccessEvent / AuthenticationFailureEvent / AccessDeniedEvent
→ 记录登录成功/失败、授权拒绝（谁、何时、从哪、结果）4.2 检测与响应
① 登录失败率异常 → 告警（爆破信号）
② 异地/异设备登录 → 二次验证
③ 权限变更、敏感操作 → 审计留痕
④ 定期渗透测试 + 依赖扫描（OWASP Dependency-Check 等）五、总结
- 方案设计：按形态选型（表单会话/ JWT / 微服务 / SSO）；原则是认证集中、授权就近、状态最少。
- 加固清单：认证（强哈希/防爆破/多因素）、授权（最小权限/归属校验）、传输（HTTPS/头）、会话与令牌（超时/短效/安全存储）、配置与依赖跟进。
- 漏洞焦点：水平越权是头号问题；认证绕过多源于放行过宽与路径匹配；Token 密钥与存储是重灾区；信息泄露靠兜底与统一响应。
- 审计可观测：监听安全事件、失败率告警、权限审计、渗透测试与依赖扫描常态化。
六、常见高频面试题
1. 前后端分离 + 微服务的认证授权怎么设计？
要点：典型架构：统一认证中心（或网关承担登录）负责用户认证并签发 Token；对外入口网关做认证拦截与粗粒度鉴权；内部微服务作为资源服务器验证 Token（本地验签），按角色/权限与数据归属做细粒度授权；服务间调用用客户端凭证 Token 或透传用户 Token。原则：认证入口集中避免重复实现、授权就近执行、无状态化（JWT）便于扩展，敏感操作保留强校验。
2. 什么是水平越权？怎么防？
要点：水平越权指同权限级别的用户互相访问对方数据------接口只校验"已登录"，没校验"这数据是不是你的"，改个资源 ID 就拿到他人数据（如 /orders/123 换成别人的）。防护：数据归属校验------方法级 @PreAuthorize 比对资源属主与当前用户，或服务层强制按属主过滤查询；不要信任客户端传的归属参数；对枚举型接口限制返回范围。这是 API 安全最高频的漏洞，必须逐接口审视。
3. 如何防止暴力破解登录？
要点：多层：① 失败计数与临时锁定------同一账号连续失败 N 次后锁定一段时间或递增延迟；② 验证码------多次失败后引入人机验证；③ 速率限制------按 IP 限制登录请求频率；④ 强密码策略与多因素认证抬高破解成本；⑤ 监控告警------登录失败率突增触发告警。注意锁定时限与提示避免被利用做账号枚举。
4. Token 在前端怎么存比较安全？
要点：权衡三种：localStorage------易被 XSS 读取，不推荐存敏感 Token；sessionStorage------同源同样有 XSS 风险；HTTP-only Cookie------脚本读不到，防 XSS 窃取，但要配合 SameSite 与 CSRF 防护。实践中：Access Token 短有效期 + 内存/JS 变量（刷新页用 Refresh 恢复），Refresh Token 放 HTTP-only Cookie。前提永远是防住 XSS（输出编码、CSP），否则哪种存储都不安全。
5. 安全配置里"默认拒绝"原则怎么落实？
要点：① 授权规则以 anyRequest().authenticated()（或 denyAll）兜底，未明确声明的路径一律拒绝；② 放行清单最小化且显式------每个公开路径有明确理由与评审；③ 新增接口默认受保护，公开需主动配置；④ 管理端点独立保护并网络隔离。配套：测试覆盖授权矩阵，定期审计放行清单。反模式是先 permitAll 全放行再打补丁。
6. 如何做登录审计与异常检测？
要点：监听 Security 事件------AuthenticationSuccessEvent/FailureEvent（登录成败）、AccessDeniedEvent（授权拒绝），记录主体、来源、时间、结果。基于日志做检测：失败率突增（爆破）、异地/异设备登录（风控二次验证）、非工作时间敏感操作。输出到集中日志/安全平台（SIEM）做关联分析与告警。审计要覆盖权限变更与敏感数据操作。
7. 密钥（JWT 签名密钥、数据库密码）怎么管理？
要点：原则：不进代码库、不进镜像、最小暴露。手段：① 环境变量注入（部署平台管理）；② 配置中心加密存储 + 启动时解密；③ 专用密钥管理服务（KMS/ Vault）------签名密钥推荐，支持轮换；④ JWT 用非对称算法时，私钥只在认证中心，资源服务器拿公钥。定期轮换 + 泄露应急预案（强制重签/黑名单）。代码扫描防止密钥误提交。
8. 渗透测试关注哪些 Web 安全点？
要点：清单化：① 认证------爆破、会话固定、登出有效性；② 授权------垂直/水平越权逐接口验证（改 ID、改角色）；③ 注入------SQL/命令/模板；④ XSS/CORS 配置；⑤ CSRF（有状态场景）；⑥ 信息泄露------错误详情、敏感接口、Actuator；⑦ 依赖漏洞（CVE 扫描）；⑧ 上传------类型绕过、路径穿越。可用 OWASP Top 10 作基准清单，结合业务逻辑漏洞（支付、优惠券）专项。
9. 安全框架升级/配置变更后，如何做安全回归？
要点：安全行为多为运行时默认驱动，必须行为回归而非仅编译。清单：① 认证流------各登录方式走通、登出有效；② 授权矩阵------关键角色对关键路径的允许/拒绝符合预期（自动化用例）；③ 放行清单------公开路径未被收紧误伤、受保护路径未被放开；④ CSRF/安全头/会话行为；⑤ 自定义过滤器链顺序与异常处理。把授权矩阵做成自动化测试，随版本常跑。
10. 给一个新项目做安全设计，你的优先级是什么？
要点：按风险与投入排序：① 基础盘------认证方案选型（匹配应用形态）、密码强哈希、授权默认拒绝、HTTPS；② 高频漏洞防护------越权（归属校验）、注入（参数化/校验）、XSS（输出编码）、会话与令牌安全；③ 纵深------安全头、CSRF（有状态）、防爆破、依赖扫描；④ 运营------安全事件审计、告警、渗透测试、密钥管理。原则：安全默认值 + 最小权限 + 纵深防御，把"容易做对的"先固化成框架默认。
