Authentication Token Manipulation 安全实践：从防御到最佳实现

1次阅读

没有评论

共计 2666 个字符，预计需要花费 7 分钟才能阅读完成。

在现代分布式系统中，身份认证令牌（如 JWT、OAuth2 令牌）是用户身份验证的核心机制。然而，Authentication Token Manipulation 攻击已成为常见的安全威胁，主要包括以下几种场景：

JWT 伪造 ：攻击者通过篡改 JWT 的头部或载荷部分，绕过签名验证，伪装成合法用户。
OAuth2 令牌劫持 ：攻击者通过中间人攻击或令牌泄露，窃取用户的 OAuth2 令牌，从而获得未授权访问权限。
会话固定攻击 ：攻击者诱导用户使用预先设定的令牌，从而接管用户会话。

这些攻击不仅会导致数据泄露，还可能引发严重的业务风险。因此，开发者需要深入了解令牌的安全机制，并采取有效的防御措施。

在选择令牌方案时，安全性是一个关键考量因素。以下是几种常见令牌方案的对比：

JWT（JSON Web Token）：
优点：轻量级、自包含、易于传输和解析。
缺点：令牌一旦签发，无法撤销，除非设置短有效期。
OAuth2：
优点：支持多种授权模式（如授权码模式、客户端模式），适合复杂的授权场景。
缺点：实现复杂度较高，需要妥善管理令牌的生命周期。
SAML（Security Assertion Markup Language）：
优点：适合企业级单点登录（SSO），支持复杂的身份断言。
缺点：XML 格式较重，解析和传输开销较大。

从安全性角度看，JWT 和 OAuth2 更适合现代分布式系统，但需要结合具体场景选择合适的方案。

以下是一个基于 Spring Security 的 JWT 令牌验证示例，展示如何验证令牌签名和设置合理有效期：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
            .antMatchers("/api/public/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .addFilter(new JwtAuthenticationFilter(authenticationManager()))
            .addFilter(new JwtAuthorizationFilter(authenticationManager()));
    }

    @Bean
    public PasswordEncoder passwordEncoder() {return new BCryptPasswordEncoder();
    }
}

public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter {

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        // 验证用户名和密码
        // 生成 JWT 令牌
        String token = Jwts.builder()
            .setSubject(username)
            .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
            .signWith(SignatureAlgorithm.HS512, SECRET_KEY)
            .compact();
        response.addHeader(HEADER_STRING, TOKEN_PREFIX + token);
    }
}

public class JwtAuthorizationFilter extends BasicAuthenticationFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException {
        // 验证 JWT 令牌签名和有效期
        Claims claims = Jwts.parser()
            .setSigningKey(SECRET_KEY)
            .parseClaimsJws(token.replace(TOKEN_PREFIX, ""))
            .getBody();
        // 检查令牌是否过期
        if (claims.getExpiration().before(new Date())) {throw new ExpiredJwtException(null, claims, "Token expired");
        }
    }
}

除了基础的令牌验证，还需要考虑以下安全策略：