Java 应用的 API 认证与授权：安全策略与实践

API 安全的重要性

API安全是保护数据和服务不受未授权访问的关键。认证和授权是确保API安全的两个基本组成部分。

API 认证机制

认证是确定用户或客户端身份的过程。

• 基本认证：使用用户名和密码进行认证。
• OAuth 2.0：一种行业标准的协议，用于授权。
• JWT（JSON Web Tokens）：一种用于双方之间安全传输信息的简洁的URL安全令牌。

API 授权机制

授权是确定已认证用户是否有权限执行特定操作的过程。

• 角色基于访问控制（RBAC）：根据用户的角色授予访问权限。
• 权限基于访问控制（PBAC）：根据用户的具体权限授予访问。

使用 Spring Security 实现 API 认证

Spring Security是一个功能强大且高度可定制的Java安全框架。

Spring Security 配置示例

package cn.juwatech.security;

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .httpBasic();
    }
}

使用 JWT 进行 API 认证

JWT可以用于API认证，提供无状态且安全的认证机制。

JWT 认证过滤器示例

package cn.juwatech.filter;

import io.jsonwebtoken.Jwts;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.web.filter.OncePerRequestFilter;

import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class JwtAuthenticationFilter extends OncePerRequestFilter {

    private final JwtTokenUtil jwtTokenUtil;

    public JwtAuthenticationFilter(JwtTokenUtil jwtTokenUtil) {
        this.jwtTokenUtil = jwtTokenUtil;
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
            throws ServletException, IOException {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            String username = jwtTokenUtil.extractUsername(token);
            if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
                // 验证token并设置认证信息
            }
        }
        filterChain.doFilter(request, response);
    }
}

使用 OAuth2.0 进行 API 授权

OAuth2.0可以用于API授权，允许第三方应用访问受保护的资源。

OAuth2.0 授权服务器配置示例

package cn.juwatech.oauth;

import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.OAuth2AuthorizationServerConfigurerAdapter;

@EnableAuthorizationServer
public class AuthorizationServerConfig extends OAuth2AuthorizationServerConfigurerAdapter {

    // 配置授权服务器的详细信息
}

结合 RBAC 和 PBAC 实现细粒度访问控制

细粒度访问控制可以更精确地管理用户对API的访问。

访问控制服务示例

package cn.juwatech.service;

import org.springframework.security.core.Authentication;
import org.springframework.security.access.AccessDecisionManager;
import org.springframework.security.access.AccessDeniedException;

public class CustomAccessDecisionManager implements AccessDecisionManager {

    @Override
    public void decide(Authentication authentication, Object secureObject, Collection<ConfigAttribute> configAttributes)
            throws AccessDeniedException {
        // 实现访问控制逻辑
    }

    @Override
    public boolean supports(ConfigAttribute attribute) {
        return true;
    }

    @Override
    public boolean supports(Class<?> clazz) {
        return true;
    }
}

结论

API认证与授权是保障API安全的重要策略。通过使用Spring Security、JWT和OAuth2.0等工具和框架，可以实施强大的认证和授权机制。结合RBAC和PBAC，可以进一步实现细粒度的访问控制，确保只有合适的用户才能访问特定的API资源。