腾讯春招内幕：2024最全Spring Security面试题大解析，安全专家必备宝典！

随着2024年春季招聘季节的来临，科技巨头字节跳动和腾讯再次成为众多求职者的目标。对于渴望在这些顶尖公司扮演关键角色的软件开发者而言，精通Spring Security是走向成功的必经之路。Spring Security，作为Java开发领域中最为强大和广泛使用的安全框架，它的灵活性和强大功能使得开发者能够构建出既安全又可靠的应用程序。

本文旨在为广大求职者提供一份详细的面试准备材料，涵盖了Spring Security的核心组件、自定义用户详细信息服务的配置、密码存储的最佳实践、基于角色的访问控制实现、CSRF保护机制、方法级别安全性的应用、JWT在Spring Security中的使用场景、自定义登录页面与认证流程的实现、OAuth2工作流程、HTTPS的强制使用、会话管理策略以及Spring Security的过滤器链工作原理等12个核心问题。

1. 解释Spring Security框架的核心组件

Spring Security 是一个强大的、高度可定制的认证和访问控制框架，它为基于Spring的应用程序提供了声明式的安全访问保护。主要核心组件包括：

Authentication （认证）: 确定某个用户是否为他声明的用户。在Spring Security中，这通常是通过AuthenticationManager接口实现的，其中ProviderManager是最常用的实现。
Authorization （授权）: 决定一个已认证的用户是否允许执行某个操作。这通常涉及到对HTTP请求进行决策，由AccessDecisionManager处理。
SecurityContextHolder 与SecurityContext ：用于存储当前安全上下文的详细信息，其中主要包括当前使用者的详细信息。
UserDetails ：提供了必要信息来构建Authentication对象，通常通过UserDetailsService接口的实现来加载用户特定数据。
GrantedAuthority ：反映了应用程序对用户的授权声明。
Security Filter Chain ：一系列的Spring Security过滤器，每个过滤器都有特定的责任，整个链负责处理传入的HTTP请求。

通过这些组件的协调工作，Spring Security提供了一个健壮的安全框架来保护Spring应用程序。

2. 如何在Spring Security中配置自定义用户详细信息服务？

在Spring Security中，自定义用户详细信息服务涉及实现

UserDetailsService

接口，该接口中的

loadUserByUsername

方法需要返回一个

UserDetails

对象。这个对象包含了用户的用户名、密码、权限等信息。

@ServicepublicclassMyUserDetailsServiceimplementsUserDetailsService{@AutowiredprivateUserRepository userRepository;@OverridepublicUserDetailsloadUserByUsername(String username)throwsUsernameNotFoundException{User user = userRepository.findByUsername(username);if(user ==null){thrownewUsernameNotFoundException("User not found");}returnneworg.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(),getAuthorities(user));}privateCollection<?extendsGrantedAuthority>getAuthorities(User user){List<GrantedAuthority> authorities =newArrayList<>();// 假设我们存储用户的角色为字符串，如 "ROLE_ADMIN"for(String role : user.getRoles()){
            authorities.add(newSimpleGrantedAuthority(role));}return authorities;}}

此外，需要在Spring Security配置中注册自定义的

UserDetailsService

，以便Spring Security使用它来获取用户详情。

@EnableWebSecuritypublicclassSecurityConfigextendsWebSecurityConfigurerAdapter{@AutowiredprivateUserDetailsService userDetailsService;@Overrideprotectedvoidconfigure(AuthenticationManagerBuilder auth)throwsException{
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());}@BeanpublicPasswordEncoderpasswordEncoder(){returnnewBCryptPasswordEncoder();}}

在这个配置中，我们还需要配置一个

PasswordEncoder

，Spring Security推荐使用

BCryptPasswordEncoder

。

3. Spring Security中的密码存储推荐实践是什么？

对于密码存储，Spring Security推荐使用强哈希函数，并且每个密码都有一个唯一的盐值。

BCryptPasswordEncoder

是Spring Security提供的一个密码编码器实现，它内部使用BCrypt强哈希算法，并自动生成盐值。这种方式可以有效地防止彩虹表攻击和字典攻击。

在Spring Security配置中使用

BCryptPasswordEncoder

：

@BeanpublicPasswordEncoderpasswordEncoder(){returnnewBCryptPasswordEncoder();}

在用户注册或密码更新时，使用

passwordEncoder

对密码进行编码，然后存储到数据库中。

User user =newUser();
user.setUsername("user");
user.setPassword(passwordEncoder.encode("password"));
userRepository.save(user);

通过这种方式，即使数据库被泄露，攻击者也难以从哈希值中恢复出原始密码，大大增加了安全性。

4. 如何通过Spring Security实现角色基的访问控制？

在Spring Security中实现基于角色的访问控制（RBAC）主要依赖于配置安全拦截，确保只有具有相应角色的用户才能访问特定资源。

配置方法通常涉及

WebSecurityConfigurerAdapter

的

configure(HttpSecurity http)

方法，其中可以定义哪些URL路径需要什么样的角色才能访问：

@Overrideprotectedvoidconfigure(HttpSecurity http)throwsException{
    http
        .authorizeRequests().antMatchers("/admin/**").hasRole("ADMIN")// 只有ADMIN角色可以访问/admin/**路径.antMatchers("/user/**").hasAnyRole("USER","ADMIN")// USER和ADMIN角色都可以访问/user/**路径.antMatchers("/public/**").permitAll()// 所有用户都可以访问/public/**路径.anyRequest().authenticated()// 其他所有路径都需要认证.and().formLogin();}

通过这种配置，Spring Security能够根据用户的角色控制访问权限，从而实现细粒度的访问控制。

5. 解释Spring Security中的CSRF保护机制

跨站请求伪造（CSRF）是一种攻击方式，攻击者诱导用户在已经认证的网站上执行恶意操作。Spring Security提供了CSRF保护机制，默认情况下是开启的。

Spring Security的CSRF保护会为每个会话生成一个唯一的CSRF令牌，并要求所有修改状态的请求（如POST、PUT、DELETE等）都携带这个令牌。这可以确保请求是由实际的用户在网站上有意发起的，而不是由攻击者伪造的。

在表单提交时，必须包含CSRF令牌：

<formaction="/path"method="post"><inputtype="hidden"name="${_csrf.parameterName}"value="${_csrf.token}"/><!-- 表单内容 --></form>

对于使用AJAX发送的请求，也需要在请求头中携带CSRF令牌。Spring Security会验证这个令牌，如果请求中没有令牌或令牌不匹配，请求将被拒绝。

6. 如何在Spring Security中实现方法级别的安全性？

Spring Security支持方法级别的安全性，允许开发者对单个方法调用进行细粒度的访问控制。这是通过

@PreAuthorize

、

@PostAuthorize

、

@Secured

等注解实现的。

@PreAuthorize ：在方法调用之前进行权限验证，可以使用表达式来指定访问条件。
@PostAuthorize ：在方法调用之后进行权限验证，通常用于验证方法返回值。
@Secured ：指定调用方法需要的权限，相比于@PreAuthorize和@PostAuthorize，它的功能较为简单。

@PreAuthorize("hasRole('ADMIN')")publicvoidupdateUserData(UserData userData){// 更新用户数据的代码}@PreAuthorize("#username == authentication.name")publicUserDatagetUserData(String username){// 返回用户数据}

为了启用方法级别的安全性，需要在配置中加上

@EnableGlobalMethodSecurity

注解，并设置相应的属性来启用所需的注解：

@Configuration@EnableGlobalMethodSecurity(prePostEnabled =true, securedEnabled =true)publicclassMethodSecurityConfigextendsGlobalMethodSecurityConfiguration{}

通过这种方式，Spring Security为开发者提供了强大的工具来保护应用程序的敏感操作，确保只有具备正确权限的用户才能执行特定的方法。

7. Spring Security中JWT的应用场景有哪些？

JSON Web Tokens (JWT) 在Spring Security中广泛应用于实现无状态的认证机制。它主要用于以下场景：

RESTful API 安全 ：对于构建RESTful服务的应用，JWT提供了一种有效的方式来保护API。客户端在登录时获取JWT令牌，并在随后的请求中携带这个令牌，服务端通过验证令牌来认证请求。
单点登录（SSO） ：JWT也可用于实现单点登录，用户在一个系统登录后，可以无缝地访问其他关联系统，无需再次认证。
微服务架构中的服务认证 ：在微服务架构中，服务间的调用需要认证。使用JWT可以方便地在服务间传递认证信息，确保调用的安全性。

在Spring Security中，通常会配置一个过滤器来处理JWT认证，例如：

publicclassJwtAuthenticationFilterextendsOncePerRequestFilter{@OverrideprotectedvoiddoFilterInternal(HttpServletRequest request,HttpServletResponse response,FilterChain filterChain)throwsServletException,IOException{String token =getTokenFromRequest(request);if(token !=null&&validateToken(token)){Authentication auth =getAuthentication(token);SecurityContextHolder.getContext().setAuthentication(auth);}
        filterChain.doFilter(request, response);}// 方法：从请求中获取JWT令牌，验证令牌，从令牌中获取认证信息...}

这个过滤器会检查HTTP请求中的JWT令牌，验证令牌的有效性，并根据令牌中的信息设置安全上下文。

8. 在Spring Security中，如何自定义登录页面和认证流程？

在Spring Security中，自定义登录页面和认证流程主要通过配置

HttpSecurity

实现。可以使用

formLogin()

方法提供的配置选项来自定义登录行为：

@Overrideprotectedvoidconfigure(HttpSecurity http)throwsException{
    http
        .formLogin().loginPage("/login")// 指定登录页面URL.loginProcessingUrl("/perform_login")// 指定表单提交URL.defaultSuccessUrl("/homepage",true)// 登录成功后跳转的URL.failureUrl("/login?error=true")// 登录失败后跳转的URL.and().logout().logoutUrl("/perform_logout")// 指定注销URL.deleteCookies("JSESSIONID");// 登出时删除JSESSIONID cookie}

通过这种方式，开发者可以提供自定义的登录页面，控制登录成功或失败后的重定向逻辑。

9. 解释Spring Security中OAuth2的工作流程

OAuth2是一个授权框架，Spring Security支持OAuth2，使得应用可以安全地允许用户通过第三方服务进行认证。OAuth2的工作流程大致如下：

授权请求 ：客户端请求授权服务器，获取用户的授权。
用户授权 ：用户同意授权后，授权服务器会将用户重定向回客户端，携带授权码。
获取令牌 ：客户端使用授权码，向授权服务器请求访问令牌。
访问资源 ：客户端使用访问令牌，向资源服务器请求受保护的资源。

在Spring Security中，可以通过配置

ClientRegistrationRepository

和

AuthorizedClientService

来实现OAuth2登录。Spring Boot的OAuth2客户端自动配置大大简化了这一过程。

10. 在Spring Security中配置HTTPS强制使用

为了提高安全性，可以配置Spring Security强制使用HTTPS。这可以通过调用

HttpSecurity

的

requiresChannel()

方法实现，然后对任意请求调用

requiresSecure()

来指定：

@Overrideprotectedvoidconfigure(HttpSecurity http)throwsException{
    http.requiresChannel().anyRequest().requiresSecure().and().formLogin().and()// 其他配置...}

这段配置确保了所有请求都必须通过HTTPS进行，如果尝试通过HTTP访问，Spring Security将自动重定向到HTTPS。这是保护应用避免被中间人攻击的有效手段。

11. Spring Security中的会话管理策略有哪些？

Spring Security提供了灵活的会话管理策略，可以在多种场景下保证应用的安全性。主要的会话管理策略包括：

会话固定保护：为了防止会话固定攻击，每当用户认证成功时，Spring Security可以更换会话ID。
会话并发控制：限制用户同时在多个地方登录。可以配置最大会话数，防止同一用户的多个会话同时存在。
会话超时：可以配置会话的最大生命周期，超过这个时间未活动的会话将被自动失效。
无效会话跳转：当用户尝试访问但会话已经失效时，可以配置跳转到特定的页面。

这些策略通过

HttpSecurity

的

sessionManagement()

方法配置：

@Overrideprotectedvoidconfigure(HttpSecurity http)throwsException{
    http
        .sessionManagement().sessionFixation().migrateSession()// 会话固定保护.maximumSessions(1)// 会话并发控制.maxSessionsPreventsLogin(true)// 达到最大会话数时阻止登录.expiredUrl("/session-expired")// 会话超时后跳转的URL.and().and()// 其他配置...}

12. Spring Security的过滤器链是如何工作的？

Spring Security通过一系列的过滤器来提供安全保护，这些过滤器组成了一个过滤器链。每个过滤器都有其特定的职责，例如处理认证请求、检查CSRF令牌、管理会话等。

当一个请求到达应用时，它会依次通过过滤器链中的每个过滤器。每个过滤器可以决定是处理该请求、修改请求/响应、终止请求的处理过程还是将请求传递给链中的下一个过滤器。

过滤器链的顺序很重要，因为它决定了过滤器的执行顺序。Spring Security为常见的安全需求提供了一套默认的过滤器链，但开发者可以根据需要自定义过滤器和过滤器链的配置。

自定义过滤器通常涉及创建一个实现

Filter

接口的类，并在Spring Security配置中将其添加到过滤器链中：

publicclassMyCustomFilterextendsGenericFilterBean{@OverridepublicvoiddoFilter(ServletRequest request,ServletResponse response,FilterChain chain)throwsIOException,ServletException{// 自定义过滤逻辑
        chain.doFilter(request, response);}}// 在配置中添加过滤器
http.addFilterBefore(newMyCustomFilter(),UsernamePasswordAuthenticationFilter.class);

通过这种方式，Spring Security的过滤器链为开发者提供了一种灵活而强大的机制来定制应用的安全策略，满足不同的安全需求。

标签： spring 安全 java

本文转载自: https://blog.csdn.net/calculusstill/article/details/136924192
版权归原作者 程序员Chino的日记 所有，如有侵权，请联系我们删除。

腾讯春招内幕：2024最全Spring Security面试题大解析，安全专家必备宝典！

1. 解释Spring Security框架的核心组件

2. 如何在Spring Security中配置自定义用户详细信息服务？

3. Spring Security中的密码存储推荐实践是什么？

4. 如何通过Spring Security实现角色基的访问控制？

5. 解释Spring Security中的CSRF保护机制

6. 如何在Spring Security中实现方法级别的安全性？

7. Spring Security中JWT的应用场景有哪些？

8. 在Spring Security中，如何自定义登录页面和认证流程？

9. 解释Spring Security中OAuth2的工作流程

10. 在Spring Security中配置HTTPS强制使用

11. Spring Security中的会话管理策略有哪些？

12. Spring Security的过滤器链是如何工作的？

发表评论

“腾讯春招内幕：2024最全Spring Security面试题大解析，安全专家必备宝典！”的评论:

关于作者

overfit同步小助手

相关阅读

文章导航