Spring Boot十種安全措施

1.在生產中使用HTTPS
傳輸層安全性（TLS）是HTTPS的官方名稱，你可能聽說過它稱為SSL（安全套接字層），SSL是已棄用的名稱，TLS是一種加密協議，可透過計算機網路提供安全通訊。其主要目標是確保計算機應用程式之間的隱私和資料完整性。

過去，TLS / SSL證照很昂貴，而且HTTPS被認為很慢，現在機器變得更快，已經解決了效能問題，Let's Encrypt提供免費的TLS證照,這兩項發展改變了遊戲，並使TLS成為主流。

截至2018年7月24日，Google Chrome 將HTTP網站標記為“不安全”。雖然這在網路社群引起了相當多的爭議。知名安全研究員特洛伊亨特建立了一個為什麼不適用HTTPS？跟蹤不使用HTTPS的大型網站的網站。

Let’s Encrypt TLS證照可以自動化生成和更新，由於他們是免費的，所以沒有理由不去做！Spring Boot Secured By Let’s Encrypt的加密是如何做到這一點的有用指南。

要在Spring Boot應用程式中強制使用HTTPS，您可以擴充套件WebSecurityConfigurerAdapter並要求安全連線。

@Configuration
public class WebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.requiresChannel().requiresSecure();
    }
}
<p class="indent">

2.使用Snyk檢查你的依賴關係
你很可能不知道應用程式使用了多少直接依賴項，這通常是正確的，儘管依賴性構成了整個應用程式的大部分。攻擊者越來越多地針對開源依賴項，因為它們的重用為惡意駭客提供了許多受害者，確保應用程式的整個依賴關係樹中沒有已知的漏洞非常重要。

Snyk測試你的應用程式構建包，標記那些已知漏洞的依賴項。它在儀表板在應用程式中使用的軟體包中存在的漏洞列表。

此外，它還將建議升級的版本或提供補丁，並提供針對原始碼儲存庫的拉取請求來修復您的安全問題。Snyk還確保在你的儲存庫上提交的任何拉取請求（透過webhooks）時都是透過自動測試的，以確保它們不會引入新的已知漏洞。

每天都會在現有專案和庫中發現新的漏洞，因此監控和保護生產部署也很重要。Snyk拍攝快照並監控你的部署，以便在發現新漏洞時，你可以透過JIRA，slack或電子郵件自動收到通知，並建立拉取請求以提供新漏洞的升級和補丁。

Snyk可透過Web UI和CLI獲得，因此您可以輕鬆地將其與CI環境整合，並將其配置為在存在嚴重性超出設定閾值的漏洞時中斷構建。

你可以免費使用Snyk進行開源專案或使用有限數量的私有專案。

3.升級到最新版本
定期升級應用程式中的依賴項有多種原因。安全性是讓您有升級動力的最重要原因之一。該start.spring.io起始頁面採用了最新的春季版本的軟體包，以及依賴關係，在可能的情況。

基礎架構升級通常不如依賴項升級具有破壞性，因為庫作者對向後相容性和版本之間的行為更改的敏感性各不相同。話雖如此，當你在配置中發現安全漏洞時，您有三種選擇：升級，修補程式或忽略。

在對應用程式進行必要的更改以使用較新版本之後，就應用程式的整體執行狀況而言，升級是最安全的。

4.啟用CSRF保護
跨站點請求偽造(Cross-Site Request Forgery )是一種攻擊，強制使用者在他們當前登入的應用程式中執行不需要的操作。如果使用者是普通使用者，一個成功攻擊可能涉及請求的狀態更改，如轉移資金或更改其電子郵件地址，如果使用者具有提升管理員的許可權，則CSRF攻擊可能會危及整個應用程式。

Spring Security具有出色的CSRF支援，如果您正在使用Spring MVC的<form:form>標籤或Thymeleaf @EnableWebSecurity，預設情況下處於啟用狀態，CSRF令牌將自動新增為隱藏輸入欄位。

如果你使用的是像Angular或React這樣的JavaScript框架，則需要配置CookieCsrfTokenRepository以便JavaScript可以讀取cookie。

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf()
                .csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse());
    }
}
<p class="indent">

5.使用內容安全策略防止XSS攻擊
內容安全策略（CSP）是一個增加的安全層，可幫助緩解XSS（跨站點指令碼）和資料注入攻擊。要啟用它，你需要配置應用程式以返回Content-Security-Policy標題。你還可以在HTML頁面中<meta http-equiv="Content-Security-Policy">使用標記。

Spring安全性預設提供了許多安全標頭：

Cache-Control: no-cache, no-store, max-age=0, must-revalidate
Pragma: no-cache
Expires: 0
X-Content-Type-Options: nosniff
Strict-Transport-Security: max-age=31536000 ; includeSubDomains
X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block
<p class="indent">

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers()
            .contentSecurityPolicy("script-src 'self' https://trustedscripts.example.com; object-src https://trustedplugins.example.com; report-uri /csp-report-endpoint/");
    }
}
<p class="indent">

6.使用OpenID Connect進行身份驗證
OAuth 2.0是行業標準的授權協議。它使用scope來定義授權使用者可以執行的操作的許可權。但是，OAuth 2.0不是身份驗證協議，並且不提供有關經過身份驗證的使用者的資訊。

OpenID Connect（OIDC）是一個OAuth 2.0擴充套件，提供使用者資訊，除了訪問令牌之外，它還新增了ID令牌，以及/userinfo可以從中獲取其他資訊的端點，它還新增了發現功能和動態客戶端註冊的端點。


如果使用OIDC進行身份驗證，則無需擔心如何儲存使用者、密碼或對使用者進行身份驗證。相反，你可以使用身份提供商（IdP）為你執行此操作，你的IdP甚至可能提供多因素身份驗證（MFA）等安全附加元件。

要了解如何在Spring Boot應用程式中使用OIDC，請參閱Spring Security 5.0和OIDC入門。要總結如何使用它，你需要向專案新增一些依賴項，然後在application.yml檔案中配置一些屬性。

spring:
  security:
    oauth2:
      client:
        registration:
          okta:
            client-id: {clientId}
            client-secret: {clientSecret}
            scope: openid email profile
        provider:
          okta:
            issuer-uri: https://{yourOktaDomain}/oauth2/default
<p class="indent">

7.管理密碼？使用密碼雜湊！
以純文字格式儲存密碼是最糟糕的事情之一。幸運的是，Spring Security預設情況下不允許使用純文字密碼。它還附帶了一個加密模組，可用於對稱加密，生成金鑰和密碼雜湊（也就是密碼編碼）。

PasswordEncoder 是Spring Security中密碼雜湊的主要介面，如下所示：

public interface PasswordEncoder {
    String encode(String rawPassword);
    boolean matches(String rawPassword, String encodedPassword);
}
<p class="indent">

8.安全地儲存秘密
應謹慎處理敏感資訊，如密碼，訪問令牌等，你不能以純文字形式傳遞，或者如果將它們儲存在本地儲存中。由於（GitHub）的歷史已經一次又一次證明，開發人員並沒有仔細考慮如何儲存他們的秘密。

一個好的做法是將保密資訊儲存在保管庫中，該保管庫可用於儲存，提供對應用程式可能使用的服務的訪問許可權，甚至生成憑據。HashiCorp的Vault使得儲存機密變得很輕鬆，並提供了許多額外的服務。

如果您對此感興趣，請務必花一些時間檢視Spring Vault，它為HashiCorp Vault新增抽象，為客戶提供基於Spring註釋的訪問，允許他們訪問、儲存和撤銷機密而不會迷失在基礎架構中。以下程式碼段顯示了使用註釋從Spring Vault中提取密碼的方便程度。

@Value("${password}")
String password;
<p class="indent">

9.使用OWASP的ZAP測試您的應用程式
OWASP ZAP安全工具是針對在執行活動的應用程式進行滲透測試的代理。它是一個受歡迎的（超過4k星）免費的開源專案，託管在GitHub上。

OWASP ZAP用於查詢漏洞的兩種方法是Spider和Active Scan。

Spider工具以URL種子開頭，它將訪問並解析每個響應，識別超連結並將它們新增到列表中。然後，它將訪問這些新找到的URL並以遞迴方式繼續，為您的Web應用程式建立URL對映。

Active Scan工具將根據潛在漏洞列表自動測試你選擇的目標。它提供了一個報告，顯示Web應用程式可被利用的位置以及有關漏洞的詳細資訊。

10.讓你的安全團隊進行程式碼審查
程式碼評審對任何高效能軟體開發團隊都至關重要。在Okta，我們所有的生產程式碼和官方開源專案都需要透過我們的專家安全團隊進行分析，你的公司可能沒有安全專家，但如果你正在處理敏感資料，也許你應該這樣做！

10 Excellent Ways to Secure Your Spring Boot Appli