如何解决Spring Security身份验证，进行RestTemplate调用避免使用String进行身份验证
您好，我的应用程序存在安全问题，使经过身份验证的用户可以访问特定的端点，未经身份验证的用户可以访问其他端点，最重要的是，继续使应用程序能够与自身通信，而无需将密码存储为字符串案例基础。
代码库：
我的代码库包含许多通过REST和GraphQL调用进行通信的软件包。没有身份验证，此系统可以正常工作。使用Maven在Java 8中进行开发。
目标：
我目前正在向代码库添加身份验证，这将使三件事发生。
- 应用程序中的不同项目可以继续轻松地通信。
- “管理员”用户可以通过Swagger或GraphiQL或他们需要的任何方法登录并拨打电话。
- 普通用户只能访问特定的终结点，例如UI元素（例如localhost：8082 / user-ui [unique_key]）
当前发展情况：
我已经实现了Spring Security内存身份验证（https://www.appsdeveloperblog.com/spring-security-in-memory-authentication/）。它成功阻止了URL的调用，并提示用户输入凭据，但某些预定义端点上除外。满足标准3和标准2的一部分（因为管理员可以访问Swagger和GraphiQL）。
我的问题：
不幸的是，由于用于包之间通信的RestTemplate不再具有正确的身份验证，因此设置此系统已中断了内部调用。
虽然我可以使用BasicAuthenticationInterceptor（https://www.baeldung.com/how-to-use-resttemplate-with-basic-authentication-in-spring）提供授权，但这将意味着必须在代码库的String中编写密码。据我了解，这是一种不好的形式，因为字符串然后存储在字符串池中。在其他地方，我设法在编码密码之前使用CharBuffer避免了这种情况，但是BasicAuthenticationInterceptor需要一个字符串。
任何有关如何进行的建议将不胜感激。
解决方法
如果您使用基本身份验证，则在使用resttemplate进行内部调用时必须提供密码。这并不意味着您需要在代码库中以纯文本格式存储敏感数据（在本例中为基本身份验证的凭据）。最常见的做法之一是使用外部文件存储敏感数据，然后让应用程序在运行时使用它们。您可能还想忽略git存储库中的文件，以防止该文件成为代码库的一部分。
如果您使用的是Spring Boot，请查看特定于环境的属性文件，这可能是存储特定于配置文件的配置和此类数据的理想方法。 https://docs.spring.io/spring-boot/docs/1.5.5.RELEASE/reference/html/boot-features-external-config.html https://www.baeldung.com/properties-with-spring
如果您担心将凭证以纯文本格式存储在属性文件中，则还可以加密属性文件中的敏感数据。 Spring Boot how to hide passwords in properties file
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。