آموزش مقدمات امنیت در Java Spring

مقدمه امنیت Spring

مقدمه

امنیت Spring یک فریمورک است که ویژگی های امنیتی متنوعی را ارائه می کند و از جمله آنها می توان به احراز هویت(authentication)، اعطای مجوز(authorization) برای ایجاد برنامه های کاربردی سازمانی جاوا امن اشاره کرد.

امنیت Spring یک زیر پروژه از فریمورک Spring است که در سال 2003 توسط Ben Alex شروع شد. بعد از آن، در سال 2004 ، تحت مجوز Apache به عنوان امنیت Spring 2.0.0 (Spring Security 2.0.0) منتشر شد و بر تمام مشکلات بروز یافته در زمان ایجاد برنامه های کاربردی غیر امنیت Spring غلبه کرد و برای برنامه ها، محیط سرور جدیدی را مدیریت کرد.

این فریمورک دو زمینه اصلی برنامه های کاربردی یعنی احراز هویت(authentication) و اجازه(authorization) را هدف قرار داده است. احراز هویت، روند شناخت و تشخیص هویت کاربری است که قصد دسترسی دارد.

اجازه، روند مجوز دادن برای اعمال عملیات در برنامه کاربردی است. می توان اجازه را روی درخواست وب، متدها و دسترسی به محدوده شخصی اعمال کرد.

فریمورک امنیت Spring از بازه وسیعی از مدل های احراز هویت پشتیبانی می کند. این مدل ها توسط شرکت سوم و یا خود فریمورک ارائه شده اند. امنیت Spring از یکپارچه سازی با تمامی این فناوری ها پشتیبانی می کند.

• HTTP BASIC authentication headers
• HTTP Digest authentication headers
• HTTP X.509 client certificate exchange
• LDAP (Lighweight Directory Access Protocol)
• Form-based authentication
• OpenID authentication
• Automatic remember-me authentication
• Kerberos
• JOSSO (Java Open Source Single Sign-On)
• AppFuse
• AndroMDA
• Mule ESB
• DWR(Direct Web Request)

زیبایی این فریمورک در منعطف بودن طبیعت احراز هویت در ادغام شدن با هر راه حل نرم افزاری است. گاهی، توسعه دهندگان قصد دارند تا آن را با یک سیستم قدیمی که از هیچ استاندارد امنیتی پیروی نمی کند ادغام کنند؛ در اینجا امنیت Spring به خوبی کار می کند.

مزایا

امنیت Spring مزایای بسیاری دارد که برخی در ادامه ذکر شده است.

• پشتیبانی همه جانبه از احراز هویت و اجازه
• محافظت در برابر کارهای مشترک
• ادغام servlet API
• ادغام با Spring MVC
• قابل انتقال بودن
• محافظت CSRF
• پشتیبانی از پیکربندی جاوا

تاریخچه امنیت Spring

در اواخر سال 2003، یک پروژه با نام Acegi Security System for Spring با هدف توسعه یک سیستم امنیتی مبتنی بر Spring شروع شد. بنابراین، یک سیستم امنیتی ساده پیاده سازی شد اما به طور رسمی منتشر نشد. توسعه دهندگان به صورت انفرادی برای راه حل های خود از آن کد استفاده می کردند، تا جایی که در سال 2004 حدود 20 توسعه دهنده از آن استفاده می کردند.

در ابتدا ماژول های احراز هویت بخشی از پروژه نبود. حدود یک سال بعد، ماژول اضافه شد و پروژه تکمیل شده برای پشتیبانی از فناوری های بیشتر بازپیکربندی شد. پس از گذشت مدتی این پروژه به زیر پروژه فریمورک Spring تبدیل شد و در سال 2006 با عنوان 1.0.0 منتشر شد. در سال 2007 ، پروژه به امنیت Spring تغییر نام داد و به طور وسیعی پذیرفته شد. اخیرا توسط توسعه دهندگان سراسر جهان شناخته شده و مورد حمایت است.