我有一个带有自定义身份验证的 Spring Boot 应用程序。我正在使用 Servlet 过滤器拦截 API 请求并验证发送的请求 token 。我还在客户端的请求 header 中请求 Nonce
,这是在每次 API 调用中从客户端发送的唯一值。
我想知道是否有一种标准方法来检查 header 中收到的 Nonce。我想使用 Nonce 避免重放攻击。
我能想到的一个实现是 - 将请求中收到的 Nonce 存储 1 分钟/在内存中维护 100 个请求的 LRU 缓存,并确保不再收到它。
如果您能为我指出一些好的资源以提供检查 Nonce 的好方法,那将会很有帮助。
我的安全过滤器
@Component
@Order(1)
public class MySecurityFilter implements Filter {
private static final Logger LOGGER = LoggerFactory.getLogger(MySecurityFilter.class);
private static final String NONCE_PARAMETER_NAME = "x-nonce";
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
String nonce = getHeaderValue(req, NONCE_PARAMETER_NAME);
//TODO: Validate Nonce
chain.doFilter(request, response);
}
//...
}
PS:我没有使用 Spring Security 进行 API 验证,因为我的用例不需要它。
最佳答案
检查下面的 InMemoryNonceServices,它有助于示例实现。
理想情况下,随机数与请求时间戳一起进行验证,因此您可以简单地拒绝时间戳早于配置间隔的请求。
NONCE 的持久性也取决于您的基础设施。如果您在基础设施中使用像 hazelcast/infispin 这样的 IMDG 或任何其他缓存,您可以利用它们实现持久性和 TTL 随机数。
使用 DB,您可能必须编写一个自定义 TTL 解决方案,这可能就像根据当前时间检查创建的时间戳一样简单。
例如。 :您可以运行计划的 cron-job 来安排简单的 DELETE 命令,或者在 Postgres DB 的情况下使用 pgAgent。
AWS Dynamo DB 等云数据存储也提供 TTL,但可能不会在到期时准确删除数据。
关于Spring Boot API 如何验证请求 header 中发送的 NONCE 值以避免重放攻击,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/64125012/