16、Spring Boot应用程序的安全认证与授权实现

Spring Boot应用程序的安全认证与授权实现

1. 现有应用安全问题分析

在Aircraft Positions应用程序中，当前的安全状态存在一些令人担忧的问题：
- 单一用户账户问题 ：应用程序仅定义了一个用户，多个需要访问该应用的人员都必须使用这个单一账户。这违背了问责制和身份验证的安全原则，因为无法唯一证明每个用户的身份。而且，如果发生安全漏洞，锁定唯一的用户账户将导致所有用户无法访问应用，目前没有办法避免这种情况。
- 密码处理问题 ：每次应用程序启动时，都会自动生成一个新密码，然后必须与所有用户共享。此外，每个启动的Aircraft Positions实例都会生成一个唯一的密码，用户登录特定实例时需要使用该特定密码。显然，需要对这些问题进行改进。

2. 添加身份验证

Spring Security采用 UserDetailsService 作为其身份验证功能的核心。 UserDetailsService 是一个接口，有一个单一方法 loadUserByUsername(String username) ，实现该方法后将返回一个实现 UserDetails 接口的对象，从中可以获取用户的关键信息，如用户名、密码、授予用户的权限和账户状态。这种灵活性允许使用各种技术进行多种实现，只要 UserDetailsService 返回 UserDetails ，应用程序就不需要了解底层实现细节。 </