これで怖くない！？コードリーディングで学ぶSpring Security #中央線Meetup

45.5K Views

May 26, 22

#java #spring #Spring Security #Java #セキュリティ #コードリーディング #認証認可

スライド概要

Spring Securityの仕組みをコードリーディングしながら解説しています。

ただし、Spring Securityのバージョンがやや古いため、最新のバージョンとはやや異なる部分もありますので、ご注意ください。

tada

@MasatoshiTada

スライド一覧

Java、Spring、IntelliJ IDEA

またはPlayer版

埋め込む »CMSなどでJSが使えない場合

ダウンロード

ダウンロード(pdf - 1.16MB)

関連スライド

詳解Springトランザクション -初級から上級まで- #jsug

java spring spring-boot

tada 322K

Java ORマッパー選定のポイント #jsug

java spring

tada 259.5K

プロになるためのSpring上級知識 #jsug

java spring

tada 221.7K

今こそ知りたいSpring DI x AOP #jsug

java spring

tada 171.3K

基礎からのOAuth 2.0とSpring Security 5.1による実装 #jsug

java spring oauth2

tada 147.9K

各ページのテキスト

#中央線Meetup ⾃⼰紹介 ▸ 多⽥真敏（@suke_masa） ▸ 研修トレーナー@カサレアル ▸ Spring / Java EE / Microservices / Cloud Foundry ▸ Pivotal認定講師 ▸ ⽇本Springユーザ会スタッフ ▸ ⽇本GlassFishユーザー会運営メンバー 3 (C) CASAREAL, Inc. All rights reserved.

https://www.thymeleaf.org/doc/tutorials/3.0/usingthymeleaf_ja.html

#中央線Meetup Spring Securityの歴史年説明 2003 Acegi Securityとして誕⽣ 2004 Apache Licenseで公開→Springに取り込まれる 2008 Spring Security 2.0としてリリース 2009 Spring Security 3.0 2015 Spring Security 4.0 2017 Spring Security 5.0 2018 Spring Security 5.1 ←今ココ Thanks to Wikipedia 8 (C) CASAREAL, Inc. All rights reserved.

https://en.wikipedia.org/wiki/Spring_Security

10.

11.

12.

#中央線Meetup ざっくり分かるSpring Securityアーキテクチャリクエスト ※本当はspringSecurityFilterChainが2つあるのですが、時間短縮のため省略しています springSecurityFilterChain (フィルター) レスポンス Filter 1 Filter 2 Authentication Manager (認証) … サーブレット Filter N AccessDecision Manager (認可) 12 (C) CASAREAL, Inc. All rights reserved.

13.

#中央線Meetup フィルター群 ▸ application.propertiesで logging.level.org.springframework.security=debug とするとログに出⼒される ... DEBUG: DEBUG: DEBUG: DEBUG: DEBUG: DEBUG: DEBUG: DEBUG: DEBUG: DEBUG: DEBUG: DEBUG: ... /login /login /login /login /login /login /login /login /login /login /login /login at at at at at at at at at at at at position position position position position position position position position position position position 1 of 12 ...: 'WebAsyncManagerIntegrationFilter' 2 of 12 ...: 'SecurityContextPersistenceFilter' 3 of 12 ...: 'HeaderWriterFilter' 4 of 12 ...: 'CsrfFilter' 5 of 12 ...: 'LogoutFilter' 6 of 12 ...: 'UsernamePasswordAuthenticationFilter' 7 of 12 ...: 'RequestCacheAwareFilter' 8 of 12 ...: 'SecurityContextHolderAwareRequestFilter' 9 of 12 ...: 'AnonymousAuthenticationFilter' 10 of 12 ...: 'SessionManagementFilter' 11 of 12 ...: 'ExceptionTranslationFilter' 12 of 12 ...: 'FilterSecurityInterceptor' 13 (C) CASAREAL, Inc. All rights reserved.

14.

#中央線Meetup 重要なフィルター抜粋クラス名説明 ① SecurityContext PersistenceFilter セッションに格納していた SecurityContextをThreadLocalに移す ② LogoutFilter ログアウト処理を⾏う ③ UsernamePassword フォーム認証を⾏う AuthenticationFilter ④ ExceptionTranslation 発⽣した例外を受け取ってエラー Filter 画⾯を表⽰する FilterSecurity アクセス制限を⾏う Interceptor ⑤ 14 (C) CASAREAL, Inc. All rights reserved.

15.

16.

17.

#中央線Meetup ①SecurityContextPersistenceFilter(1/2) // デフォルト実装はHttpSessionSecurityContextRepository private SecurityContextRepository repo; HttpRequestResponseHolder holder = new HttpRequestResponseHolder(request, response); // SecurityContextをHttpSessionから取り出す SecurityContext contextBeforeChainExecution = repo.loadContext(holder); try { // ThreadLocalにSecurityContextを保存する SecurityContextHolder.setContext(contextBeforeChainExecution); https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/ security/web/context/SecurityContextPersistenceFilter.java#L98 17 (C) CASAREAL, Inc. All rights reserved.

https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/security/web/context/SecurityContextPersistenceFilter.java#L98

18.

#中央線Meetup ①SecurityContextPersistenceFilter(2/2) // 次のフィルターに処理を委譲 chain.doFilter(holder.getRequest(), holder.getResponse()); } finally { // リクエスト処理後のSecurityContextを取得 SecurityContext contextAfterChainExecution = SecurityContextHolder.getContext(); // ThreadLocalからSecurityContextを削除 SecurityContextHolder.clearContext(); // HttpSessionにSecurityContextを再保存 repo.saveContext(contextAfterChainExecution, holder.getRequest(), holder.getResponse()); } 18 (C) CASAREAL, Inc. All rights reserved.

19.

#中央線Meetup なぜThreadLocalを使うのか？ ▸ 実⾏中スレッドのどこからでも SecurityContext内のユーザー情報にアクセスできる！ // SecurityContextをThreadLocalから取得 SecurityContext context = SecurityContextHolder.getContext(); // 認証情報を取得 Authentication auth = context.getAuthentication(); // ログイン中のユーザー情報を取得 UserDetails userDetails = (UserDetails) auth.getPrincipal(); 19 (C) CASAREAL, Inc. All rights reserved.

20.

[beta]

#中央線Meetup

②LogoutFilter(1/2)
// ログアウト処理を⾏う
private final LogoutHandler handler;
// ログアウト成功後の処理を⾏う
private final LogoutSuccessHandler logoutSuccessHandler;
public LogoutFilter(LogoutSuccessHandler logoutSuccessHandler,
LogoutHandler... handlers) {
// 複数のログアウト処理を保持するハンドラー
this.handler = new CompositeLogoutHandler(handlers);
// デフォルトではログアウト成功後、指定URLにリダイレクトする
this.logoutSuccessHandler = logoutSuccessHandler;
// ログアウトURLを"/logout"に指定
setFilterProcessesUrl("/logout");
}
https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/
security/web/authentication/logout/LogoutFilter.java#L101

20

(C) CASAREAL, Inc. All rights reserved.

https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/security/web/authentication/logout/LogoutFilter.java#L101

21.

#中央線Meetup ②LogoutFilter(2/2) // ログアウトURLだったら実⾏ if (requiresLogout(request, response)) { // 認証情報を取得 Authentication auth = SecurityContextHolder.getContext().getAuthentication(); // ログアウト処理 this.handler.logout(request, response, auth); // ログアウト成功後の処理 logoutSuccessHandler.onLogoutSuccess(request, response, auth); return; } chain.doFilter(request, response); 21 (C) CASAREAL, Inc. All rights reserved.

22.

#中央線Meetup LogoutHandlerは何をしている？ ▸ SecurityContextLogoutHandlerが必ず最後に実⾏される ▸ それ以外のLogoutHandlerは認証情報を利⽤可能 ▸ LogoutHandlerはJava Conﬁgで追加できる if (invalidateHttpSession) { HttpSession session = request.getSession(false); if (session != null) { session.invalidate(); } } if (clearAuthentication) { SecurityContext context = SecurityContextHolder.getContext(); context.setAuthentication(null); } // SecurityContextを空にする SecurityContextHolder.clearContext(); 22 (C) CASAREAL, Inc. All rights reserved.

23.

#中央線Meetup ③UsernamePasswordAuthenticationFilter // リクエストパラメータからユーザー名を取得 String username = obtainUsername(request); // リクエストパラメータからパスワードを取得 String password = obtainPassword(request); // Authenticationオブジェクトを⽣成 UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(username, password); setDetails(request, authRequest); // AuthenticationManagerで認証 return this.getAuthenticationManager().authenticate(authRequest); https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/ security/web/authentication/UsernamePasswordAuthenticationFilter.java#L75 23 (C) CASAREAL, Inc. All rights reserved.

https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/security/web/authentication/UsernamePasswordAuthenticationFilter.java#L75

24.

25.

26.

[beta]

#中央線Meetup
④ExceptionTranslationFilter(1/3)
try {
chain.doFilter(request, response);
// 例外をキャッチ
} catch (Exception ex) {
// 親の例外までgetCause()で辿り、全例外を配列で取得
Throwable[] causeChain =
throwableAnalyzer.determineCauseChain(ex);
// 例外の配列から、認証例外を探す
RuntimeException exception =
(AuthenticationException) throwableAnalyzer
.getFirstThrowableOfType(
AuthenticationException.class, causeChain);
https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/
security/web/access/ExceptionTranslationFilter.java#L118

26
(C) CASAREAL, Inc. All rights reserved.

https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/security/web/access/ExceptionTranslationFilter.java#L118

27.

#中央線Meetup ④ExceptionTranslationFilter(2/3) if (exception == null) { // 認証例外が無ければ、認可例外を探す exception = (AccessDeniedException) throwableAnalyzer .getFirstThrowableOfType( AccessDeniedException.class, causeChain); } if (exception != null) { // 認証例外または認可例外を処理する handleSpringSecurityException( request, response, chain, exception); } else { // 例外をスローする } } 27 (C) CASAREAL, Inc. All rights reserved.

28.

#中央線Meetup ④ExceptionTranslationFilter(3/3) private void handleSpringSecurityException(...) throws ... { if (exception instanceof AuthenticationException) { // ログイン画⾯にリダイレクト } else if (exception instanceof AccessDeniedException) { if (/* もし無名ユーザー or RememberMeだったら */) { // ログイン画⾯にリダイレクト } else { // 403画⾯にフォワード } } } 28 (C) CASAREAL, Inc. All rights reserved.

29.

30.

[beta]

#中央線Meetup
⑤FilterSecurityInterceptor(1/3)
// 前処理としてのセキュリティチェック
InterceptorStatusToken token = super.beforeInvocation(fi);
try {
// 次のフィルターまたはサーブレットを実⾏
fi.getChain().doFilter(fi.getRequest(), fi.getResponse());
} finally {
// 例外の有無に関わらず⾏うセキュリティチェック
super.finallyInvocation(token);
}
// 後処理としてのセキュリティチェック
super.afterInvocation(token, null);

https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/
security/web/access/intercept/FilterSecurityInterceptor.java#L124

30
(C) CASAREAL, Inc. All rights reserved.

https://github.com/spring-projects/spring-security/blob/master/web/src/main/java/org/springframework/security/web/access/intercept/FilterSecurityInterceptor.java#L124

31.

[beta]

#中央線Meetup
⑤FilterSecurityInterceptor(2/3)
protected InterceptorStatusToken beforeInvocation(Object object) {
// アクセスしたリソースに対するアクセス許可設定を取得
Collection<ConfigAttribute> attributes =
this.obtainSecurityMetadataSource().getAttributes(object);
if (SecurityContextHolder.getContext().getAuthentication()
== null) {
// 認証情報が無い旨の例外をスロー
}
// 認証処理 -> 認証情報を取得 or 認証例外をスロー
Authentication authenticated = authenticateIfRequired();

31
(C) CASAREAL, Inc. All rights reserved.

32.

#中央線Meetup ⑤FilterSecurityInterceptor(3/3) } try { // 認可処理を⾏う（NGなら例外をスロー、OKなら何もしない） this.accessDecisionManager.decide( authenticated, object, attributes); } catch (AccessDeniedException accessDeniedException) { // 認可失敗イベントを発⽕ publishEvent(new AuthorizationFailureEvent(...)); // 例外を再スロー throw accessDeniedException; } // 他にもいろんな処理・・・ 32 (C) CASAREAL, Inc. All rights reserved.

33.

#中央線Meetup Filterなの？Interceptorなの？ <<interface>> javax.servlet. Filter <<abstract>> AbstractSecurity Interceptor <<interface>> org.aopalliance.intercept. MethodInterceptor FilterSecurity Interceptor MethodSecurity Interceptor フィルターとして実⾏される (URL単位の認可制御) AOPとして実⾏される (メソッドへの認可制御) 33 (C) CASAREAL, Inc. All rights reserved.

34.

#中央線Meetup AccessDecisionManagerの構造 <<interface>> AccessDecision Manager Affirmative Based (1票でもあればOK) 意思決定者 Consensus Based (多数決) Unanimous Based (全会⼀致) ＊ <<interface>> AccessDecision Voter 投票者 34 (C) CASAREAL, Inc. All rights reserved.

35.

36.

https://qiita.com/kawasima/items/8dd7eda743f2fdcad78e

37.

https://qiita.com/kawasima/items/8dd7eda743f2fdcad78e

38.

https://qiita.com/kawasima/items/8dd7eda743f2fdcad78e

39.

https://qiita.com/kawasima/items/8dd7eda743f2fdcad78e

40.

41.

#中央線Meetup 使⽤技術 @kawasima @suke_masa ▸ Ninja Framework ▸ Spring MVC ▸ FreeMarker ▸ Thymeleaf ▸ JPA ▸ JPA (w/Spring Boot) ▸ JSR 250 (@RolesAllowed) ▸ Spring Security 41 (C) CASAREAL, Inc. All rights reserved.

42.

43.

#中央線Meetup URL単位のアクセス許可 @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) public class SecurityConfig extends WebSecurityConfigurerAdapter { ... @Override protected void configure(HttpSecurity http) throws Exception { ... http.authorizeRequests() .mvcMatchers("/signup").permitAll() .mvcMatchers(GET, "/issues/").hasAuthority("readIssue") .mvcMatchers(GET, "/issue/new").hasAuthority("writeIssue") .mvcMatchers(POST, "/issues/").hasAuthority("writeIssue") .mvcMatchers("/users").hasAuthority("manageUser") .anyRequest().authenticated(); ... URLパターンごとに } パーミッションを指定 ... } 43 (C) CASAREAL, Inc. All rights reserved.

44.

[beta]

#中央線Meetup

ビジネスロジックのアクセス許可
@Service
public class IssueServiceImpl implements IssueService {
...
@PreAuthorize("hasAuthority('readIssue')")
@Transactional(readOnly = true)
public List<Issue> findAll() {
AOPでパーミッションが
AOPで実⾏直前に
return issueRepository.findAll();
パーミッションをチェック
チェックされる
}
@PreAuthorize("hasAuthority('writeIssue')")
@Transactional
public void register(Issue issue, String account) {
issueRepository.register(issue, account);
}
}

44
(C) CASAREAL, Inc. All rights reserved.

45.

[beta]

#中央線Meetup

ビュー層での権限による出し分け
<html xmlns:sec="http://www.thymeleaf.org/extras/spring-security">
...
パーミッションがある場合のみ
<a href="#" class="header item">
リンクを表⽰
RBAC Example
(thymeleaf-extras-springsecurity5の機能)
</a>
<a th:href="@{/}" sec:authorize="isAuthenticated()">
Home
</a>
<a th:href="@{/issues/}"
sec:authorize="isAuthenticated() and hasAuthority('readIssue')">
Issue
</a>
<a th:href="@{/users/}"
sec:authorize="isAuthenticated() and hasAuthority('manageUser')">
Users
</a>
...
45
(C) CASAREAL, Inc. All rights reserved.

46.

https://github.com/MasatoshiTada/rbac-example-springsecurity

47.

48.

これで怖くない！？コードリーディングで学ぶSpring Security #中央線Meetup

tada

関連スライド

最新の6.0で学ぶ！初めてのひとのためのSpring Security

詳解Springトランザクション -初級から上級まで- #jsug

Java ORマッパー選定のポイント #jsug

プロになるためのSpring上級知識 #jsug

今こそ知りたいSpring DI x AOP #jsug

基礎からのOAuth 2.0とSpring Security 5.1による実装 #jsug

各ページのテキスト