文章总结： 本文讨论了在Web应用中实现用户权限控制的安全需求。核心要点是客户端标志用户权限的cookie选项应进行加密处理，或者更安全地将权限控制放在服务端。使用SpringSecurity框架可以实现服务端权限控制，如通过@PreAuthorize注解。虽然加密cookie提供一定保护，但服务端控制能防止恶意用户通过窃取或伪造cookie进行越权操作。建议开发者采用服务端权限控制方法，并注意其他安全问题如CSRF攻击。 综合评分： 89 文章分类： 安全开发,应用安全,WEB安全,安全建设,解决方案

SDL序列课程-第64篇-安全需求-权限设计需求-客户端中有标志用户权限的cookie选项需做加密处理或者把权限控制放在服务端

原创

wenson

软件开发安全生命周期

2025年12月13日 12:49 广东

欢迎转发给有需要的人，微信公众号名称：软件开发安全生命周期。定期分享软件开发生命周期,SDLC、SDL、DevSecOps等相关的知识。致力于分享知识、同时会分享网络安全相关的知识点和技能点。

明确用户身份的操作权限：客户端中有标志用户权限的cookie选项需做加密处理或者把权限控制放在服务端

1. 引言

在开发Web应用时，保护用户数据和应用安全是至关重要的任务之一。对于任何涉及用户数据的操作，都需要进行适当的权限控制。权限控制可以确保只有经过授权的用户才能访问或修改特定的数据。本文将详细探讨如何在Java中实现用户身份的操作权限，并对客户端中标志用户权限的cookie选项进行加密处理，或者将权限控制放在服务端。

2. 用户身份和操作权限

在Web应用中，用户身份通常是通过会话管理来维护的。当用户登录应用时，服务器会创建一个会话，并将会话ID发送给客户端，通常是以cookie的形式。在后续的请求中，客户端会将会话ID发送回服务器，服务器通过这个会话ID来识别用户身份。

用户的操作权限通常是通过角色或权限来管理的。角色是一组权限的集合，用户可以有一个或多个角色。权限则是对特定操作的许可，例如读取数据、修改数据等。

在Java中，我们可以使用Spring Security框架来管理用户的身份和操作权限。Spring Security提供了一套全面的安全解决方案，包括身份验证、权限控制、会话管理等。在Spring Security中，可以使用UserDetailsService接口来加载用户的详细信息，包括用户名、密码和权限。

以下是一个简单的UserDetailsService实现：

importorg.springframework.security.core.userdetails.User;
importorg.springframework.security.core.userdetails.UserDetails;
importorg.springframework.security.core.userdetails.UserDetailsService;
importorg.springframework.security.core.userdetails.UsernameNotFoundException;

@Service
publicclassMyUserDetailsServiceimplementsUserDetailsService {

    @Override
    publicUserDetailsloadUserByUsername(Stringusername) throwsUsernameNotFoundException {
        // 在实际应用中，你应该从数据库或其他数据源加载用户信息
        if (!"admin".equals(username)) {
            thrownewUsernameNotFoundException("User not found");
        }
        returnUser.withUsername("admin")
                .password("{noop}password")
                .roles("ADMIN")
                .build();
    }
}

在这个示例中，loadUserByUsername方法用于加载用户的详细信息。在实际应用中，你应该从数据库或其他数据源加载用户信息。在这个示例中，我们只是硬编码了一个用户admin，密码是password，角色是ADMIN。

3. 客户端cookie的加密处理

在Web应用中，cookie是一种常见的存储用户信息的方式。由于cookie是在客户端存储的，如果不加以保护，恶意用户可能会修改或窃取cookie中的信息。对于包含敏感信息的cookie，我们需要进行加密处理。

在Java中，我们可以使用Jasypt库来加密和解密cookie。以下是一个示例：

importorg.jasypt.util.text.BasicTextEncryptor;

publicclassCookieEncryptor {

    privateBasicTextEncryptortextEncryptor;

    publicCookieEncryptor(Stringpassword) {
        textEncryptor=newBasicTextEncryptor();
        textEncryptor.setPassword(password);
    }

    publicStringencrypt(Stringdata) {
        returntextEncryptor.encrypt(data);
    }

    publicStringdecrypt(StringencryptedData) {
        returntextEncryptor.decrypt(encryptedData);
    }
}

在这个示例中，CookieEncryptor类使用Jasypt的BasicTextEncryptor来加密和解密数据。在创建CookieEncryptor时，我们需要提供一个密码，这个密码用于生成加密密钥。

可以在处理用户登录和退出时，使用CookieEncryptor来加密和解密cookie。以下是一个使用Spring MVC的示例：

importorg.springframework.web.bind.annotation.PostMapping;
importorg.springframework.web.bind.annotation.RequestParam;
importorg.springframework.web.bind.annotation.RestController;

importjavax.servlet.http.Cookie;
importjavax.servlet.http.HttpServletResponse;

@RestController
publicclassLoginController {

    privateCookieEncryptorcookieEncryptor=newCookieEncryptor("password");

    @PostMapping("/login")
    publicStringlogin(@RequestParam("username") Stringusername, HttpServletResponseresponse) {
        // 在实际应用中，你应该验证用户名和密码
        StringencryptedUsername=cookieEncryptor.encrypt(username);
        Cookiecookie=newCookie("username", encryptedUsername);
        response.addCookie(cookie);
        return"Logged in";
    }

    @PostMapping("/logout")
    publicStringlogout(HttpServletResponseresponse) {
        Cookiecookie=newCookie("username", null);
        cookie.setMaxAge(0);
        response.addCookie(cookie);
        return"Logged out";
    }
}

在这个示例中，login方法在用户登录后，将用户名加密并存储在cookie中；logout方法在用户退出后，删除用户名的cookie。

4. 在服务端进行权限控制

虽然可以通过加密cookie来保护用户的权限信息，但这并不是最安全的方法。即使加密了cookie，恶意用户仍然可以通过窃取或伪造cookie来尝试越权。更安全的方法是将权限控制放在服务端。

在服务端进行权限控制意味着我们不再在客户端存储用户的权限信息，而是在每次请求时，根据用户的身份来检查他们的权限。这样，即使恶意用户窃取了用户的会话ID，他们也无法进行未授权的操作，因为他们无法伪造用户的权限。

在Java中，我们可以使用Spring Security的@PreAuthorize注解来实现服务端的权限控制。以下是一个示例：

importorg.springframework.security.access.prepost.PreAuthorize;
importorg.springframework.web.bind.annotation.GetMapping;
importorg.springframework.web.bind.annotation.RestController;

@RestController
publicclassUserController {

    @PreAuthorize("hasRole('ADMIN')")
    @GetMapping("/admin")
    publicStringadmin() {
        return"Welcome, admin!";
    }
}

在这个示例中，@PreAuthorize注解用于指定访问admin方法需要ADMIN角色。如果用户没有ADMIN角色，他们将无法访问这个方法。

为了使@PreAuthorize注解生效，我们需要在Spring Security的配置中启用方法级别的安全性。以下是一个示例：

importorg.springframework.context.annotation.Configuration;
importorg.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled=true)
publicclassSecurityConfig {
}

在这个示例中，@EnableGlobalMethodSecurity(prePostEnabled = true)注解启用了方法级别的安全性，并启用了@PreAuthorize和@PostAuthorize注解。

5. 总结

在Web应用中，保护用户数据和应用安全是至关重要的任务之一。对于任何涉及用户数据的操作，都需要进行适当的权限控制。在Java中，我们可以使用Spring Security框架来实现用户身份的操作权限，并对客户端中标志用户权限的cookie选项进行加密处理，或者将权限控制放在服务端。虽然加密cookie可以提供一定的安全性，但更安全的方法是将权限控制放在服务端，这样可以避免恶意用户通过窃取或伪造cookie来尝试越权。在实现权限控制时，我们还需要注意其他的安全问题，例如防止跨站请求伪造（CSRF）攻击，避免暴露敏感信息，等等。

查看原文：《SDL序列课程-第64篇-安全需求-权限设计需求-客户端中有标志用户权限的cookie选项需做加密处理或者把权限控制放在服务端》