Trong thế giới ứng dụng web hiện nay, bảo mật là một vấn đề rất quan trọng. Để đảm bảo an toàn cho hệ thống, các nhà phát triển nên sử dụng các framework bảo mật để bảo vệ ứng dụng của mình khỏi các cuộc tấn công và lỗ hổng bảo mật. Trong bài viết này, chúng ta sẽ tìm hiểu về cơ chế hoạt động của Spring Security - một trong những framework bảo mật phổ biến nhất trong thế giới phát triển ứng dụng web.

1. Spring Security là gì? Giới thiệu về Spring Security

Spring Security được phát triển bởi SpringSource (hiện thuộc Pivotal) và được xem là một trong những framework bảo mật phổ biến nhất cho ứng dụng Java

Spring Security cung cấp các tính năng xác thực (authentication) và phân quyền (authorization) cho các ứng dụng, cũng như hỗ trợ các tiêu chuẩn và giao thức bảo mật như HTTPS, OAuth2, JWT, LDAP, SAML, OpenID Connect. Mọi người cũng có thể tham khảo bài viết OAuth là gì? tại 200Lab nhé

OAuth là gì? So sánh OAuth 2.1 và OAuth 2.0

OAuth là một giao thức quan trọng, đặc biệt trong bảo mật và quản lý truy cập. Cùng tìm hiểu về OAuth 2.1 và OAuth 2.0 nhé!

200Lab BlogLương Việt Hải

Spring Security được thiết kế theo kiến trúc plugin, cho phép tùy biến linh hoạt và dễ dàng theo nhu cầu của ứng dụng và được tích hợp sẵn với các thành phần khác của Spring Framework, như Spring Boot, Spring MVC, Spring Data, Spring Cloud, và Spring WebFlux.

2. Cơ chế hoạt động của Spring Security

Spring Security hoạt động theo mô hình client-server. Khi một client gửi một request đến server, server sẽ xác thực người dùng và phân quyền để đảm bảo rằng người dùng chỉ có thể truy cập vào những tài nguyên mà họ được phép truy cập.

Cơ chế hoạt động của Spring Security dựa trên cơ chế lọc (filter) và sự kiện (event) để can thiệp vào quá trình xử lý yêu cầu (request) và phản hồi (response) của ứng dụng web, tức là khi một yêu cầu được gửi đến ứng dụng web, nó sẽ được chuyển qua một chuỗi các bộ lọc (filter chain) do Spring Security quản lý. Mỗi bộ lọc có một nhiệm vụ cụ thể, như kiểm tra xác thực, kiểm tra phân quyền, điều hướng đến trang đăng nhập hoặc đăng xuất, xử lý các lỗi bảo mật.

Nếu một yêu cầu không thỏa mãn các điều kiện bảo mật của ứng dụng, Spring Security sẽ sinh ra một sự kiện (event) để thông báo cho ứng dụng biết. Ứng dụng có thể lắng nghe và xử lý các sự kiện này theo ý muốn, ví dụ như ghi log, gửi email hoặc hiển thị thông báo lỗi.

Ngược lại, nếu một yêu cầu được chấp nhận bởi Spring Security, nó sẽ được tiếp tục xử lý bởi ứng dụng web như bình thường. Khi ứng dụng web trả về một phản hồi cho yêu cầu, nó cũng sẽ được chuyển qua lại chuỗi các bộ lọc của Spring Security để áp dụng các thiết lập bảo mật cho phản hồi.

Và cơ chế ấy bao gồm ba thành phần chính:

• Authentication
• Authorization
• Authentication Provider

Chúng ta sẽ tìm hiểu chi tiết về từng thành phần trong phần tiếp theo.

3. Các thành phần cơ bản của Spring Security

3.1. Authentication trong Spring Security

3.1.1. Authentication là gì?

Authentication là quá trình xác thực xem người dùng có quyền truy cập vào ứng dụng hay không. Khi người dùng đăng nhập vào hệ thống, thông tin đăng nhập của họ sẽ được xác thực để đảm bảo rằng họ là người dùng hợp lệ và có quyền truy cập vào các tài nguyên yêu cầu.

Authentication thường dựa trên các thông tin nhận dạng (identifier) và thông tin bí mật (credential) của người dùng hoặc ứng dụng, ví dụ như tên đăng nhập và mật khẩu, mã token, vân tay, khuôn mặt tùy theo cách tiếp cận của ứng dụng đó.

3.1.2. Spring hỗ trợ xác thực như thế nào?

Spring Security hỗ trợ xác thực thông qua một số cơ chế, bao gồm:

• Form-based authentication: Xác thực thông qua một form đăng nhập.
• HTTP Basic authentication: Xác thực thông qua các header authorization.
• Authentication via a custom login page: Xác thực thông qua một trang đăng nhập tùy chỉnh.
• Pre-authenticated authentication: Xác thực thông qua các giá trị được cung cấp từ phía máy khách.

3.1.3. Trạng thái và phi trạng thái (Stateful vs Stateless)

Trong quá trình xác thực, Spring Security hỗ trợ cả trạng thái và phi trạng thái

• Trạng thái (Stateful) là một cách tiếp cận xác thực trong đó hệ thống sẽ lưu trữ thông tin xác thực của người dùng hoặc ứng dụng trong một phiên (session) trên máy chủ. Khi người dùng hoặc ứng dụng gửi một yêu cầu mới, hệ thống sẽ kiểm tra phiên hiện tại để xác định danh tính và quyền hạn của người dùng hoặc ứng dụng.
• Phi trạng thái (Stateless) là một cách tiếp cận khác với Stateful, khi đó hệ thống không lưu trữ thông tin xác thực của người dùng hoặc ứng dụng trên máy chủ, mà chỉ sử dụng các mã token đã được ký số để xác thực thông tin. Khi đó người dùng hoặc ứng dụng gửi một yêu cầu mới, hệ thống sẽ kiểm tra mã token để xác định danh tính và quyền hạn của người dùng hoặc ứng dụng.

3.2. Authorization trong Spring Security

3.2.1. Authorization là gì?

Authorization là quá trình xác định quyền truy cập của người dùng đối với các tài nguyên trong ứng dụng. Khi người dùng truy cập vào một tài nguyên, Spring Security sẽ kiểm tra xem người dùng có được phép truy cập vào tài nguyên đó hay không hoặc thực hiện một hành động nào đó trong hệ thống.

Authorization thường dựa trên các thông tin về vai trò (role), nhóm (group), quyền hạn (permission), chính sách (policy). Ngoài ra, còn giúp đảm bảo rằng chỉ những người dùng hoặc ứng dụng có quyền thích hợp mới có thể truy cập vào tài nguyên hoặc thực hiện hành động được bảo vệ.

3.2.2. Phân quyền ứng dụng web với Spring Security

Spring Security hỗ trợ phân quyền ứng dụng web bằng cách sử dụng các annotation hoặc XML để định nghĩa các quyền truy cập cho người dùng. Các quyền truy cập này được áp dụng cho các tài nguyên trong ứng dụng, chẳng hạn như trang web hoặc API.

Spring Security hỗ trợ phân quyền bằng cách sử dụng các thành phần sau:

• AccessDecisionManager: là một interface định nghĩa phương thức decide() để kiểm tra quyền của người dùng hoặc ứng dụng khi truy cập vào một tài nguyên hoặc thực hiện một hành động nào đó. AccessDecisionManager có thể được cài đặt bởi các lớp con như AffirmativeBased, ConsensusBased, UnanimousBased,..

	
void decide(Authentication authentication, Object object,
			Collection<ConfigAttribute> configAttributes) throws AccessDeniedException,
			InsufficientAuthenticationException;

boolean supports(ConfigAttribute attribute);

boolean supports(Class<?> clazz);

}

• AccessDecisionVoter: là một interface định nghĩa phương thức vote() để đưa ra quyết định về quyền hạn của người dùng hoặc ứng dụng. AccessDecisionVoter cũng định nghĩa phương thức supports() để kiểm tra xem một loại tài nguyên hoặc hành động có được hỗ trợ hay không. AccessDecisionVoter có thể được cài đặt bởi các lớp con như RoleVoter, AuthenticatedVoter, WebExpressionVoter.

• SecurityExpressionHandler: cũng là interface định nghĩa phương thức createSecurityExpressionRoot() để tạo ra một đối tượng SecurityExpressionRoot chứa các biểu thức bảo mật cho người dùng hoặc ứng dụng. SecurityExpressionHandler có thể được cài đặt bởi các lớp con như WebSecurityExpressionHandler, MethodSecurityExpressionHandler.

3.3. Authentication Provider

Authentication Provider là một thành phần quan trọng trong Spring Security chịu trách nhiệm xác minh thông tin xác thực của người dùng hoặc ứng dụng. Ví dụ, khi một người dùng đăng nhập vào hệ thống, Authentication Provider sẽ kiểm tra thông tin đăng nhập của người dùng và trả về kết quả xác thực.

Authentication Provider được sử dụng bởi Authentication Manager để xử lý yêu cầu xác thực từ người dùng hoặc ứng dụng. Mỗi Authentication Provider chỉ hỗ trợ một loại Authentication cụ thể, ví dụ như UsernamePasswordAuthenticationToken, JwtAuthenticationToken, PreAuthenticatedAuthenticationToken,..

4. Các tính năng nâng cao của Spring Security

Spring Security không chỉ hỗ trợ xác thực và phân quyền cơ bản, mà còn cung cấp nhiều tính năng nâng cao để bảo vệ ứng dụng web của bạn. Một số tính năng nâng cao của Spring Security bao gồm

• CSRF protection (bảo vệ chống lại tấn công CSRF)
• Session management (quản lý phiên)
• Password encoding (mã hóa mật khẩu)

Chúng ta có thể kích hoạt và tùy chỉnh các tính năng nâng cao này thông qua các annotation, XML, hoặc Java configuration trong Spring Security.

5. Ưu và nhược điểm của Spring Security

Ưu điểm của Spring Security

• Spring Security là một framework bảo mật mạnh mẽ và linh hoạt, hỗ trợ rất nhiều tiêu chuẩn và giao thức bảo mật.
• Được tích hợp sẵn với Spring Framework, giúp việc phát triển ứng dụng web an toàn và hiệu quả hơn.
• Spring Security có một cộng đồng lớn và sôi động, với rất nhiều tài liệu hướng dẫn và ví dụ minh họa.

Nhược điểm của Spring Security:

• Cấu hình Spring Security có thể khá phức tạp và khó hiểu, đặc biệt là khi làm việc với các tính năng nâng cao.
• Một số tính năng của Spring Security có thể không phù hợp với  loại ứng dụng web, ví dụ như ứng dụng web không sử dụng Spring Framework. Và cả các ứng dụng có quy mô lớn hoặc các ứng dụng yêu cầu tốc độ phản hồi cao.
• Yêu cầu kiến thức chuyên môn về bảo mật để sử dụng hiệu quả.

6. Tổng kết về Spring Security

Trong bài viết này, chúng ta đã tìm hiểu về cơ chế hoạt động của Spring Security - một trong những framework bảo mật phổ biến nhất trong thế giới phát triển ứng dụng web. Chúng ta đã tìm hiểu chi tiết về các thành phần cơ bản của Spring Security bao gồm Authentication, Authorization và Authentication Provider, cũng như các tính năng nâng cao của Spring Security

Tuy nhiên, để sử dụng Spring Security hiệu quả, chúng ta cần có kiến thức chuyên môn về bảo mật. Nếu được sử dụng đúng cách, Spring Security có thể giúp bảo vệ ứng dụng của bạn khỏi các lỗ hổng bảo mật và các cuộc tấn công từ các hacker.

Thông tin tham khảo:

• Spring Security
• Spring Security Architecture
• Spring Security: Authentication and Authorization In-Depth

Tóm lại, Spring Security không chỉ giúp ứng dụng của chúng ta trở nên an toàn mà còn tăng cường khả năng bảo mật và quản lý quyền truy cập một cách hiệu quả. Điều này đóng vai trò quan trọng trong việc bảo vệ thông tin và tương tác giữa hệ thống với người dùng. Hãy tiếp tục nghiên cứu và áp dụng Spring Security vào các dự án của bạn để tạo ra các ứng dụng web đáng tin cậy và an toàn hơn.

Bạn hãy thường xuyên theo dõi các bài viết hay về Lập Trình & Dữ Liệu trên 200Lab Blog nhé. Cũng đừng bỏ qua những khoá học Lập Trình tuyệt vời trên 200Lab nè.

Một vài bài viết bạn sẽ thích:

RabbitMQ là gì? RabbitMQ hoạt động như nào?

Jira là gì? Giải mã phần mềm đa năng Jira Software

OpenTelemetry: Công cụ giám sát và tối ưu hóa ứng dụng

Giải pháp scale WebSocket với Socket.IO

Axios là gì? Tìm hiểu về thư viện Axios