Approches architecturales de l'autorisation dans les applications serveur: Framework de contrôle d'accès basé sur l'activité

Aujourd'hui, nous allons parler de sécurité dans les applications Web (et, probablement, pas seulement). Avant de décrire les approches et les cadres, je vais vous raconter un peu le contexte.

Contexte

Pendant de nombreuses années de travail dans l'informatique, j'ai dû faire face à des projets dans divers domaines. Chaque projet avait ses propres exigences de sécurité. Si en termes d'authentification tout était plus ou moins le même en termes d'exigences, alors les modalités de mise en œuvre du mécanisme d'autorisation se sont avérées assez différentes d'un projet à l'autre. À chaque fois, l'autorisation devait être rédigée presque à partir de zéro pour les objectifs spécifiques du projet, pour développer une solution architecturale, puis pour l'affiner avec des exigences changeantes, des tests, etc. - tout cela est un processus commun qui ne peut être évité dans le développement. Avec chaque implémentation de la prochaine approche architecturale de ce type, il y avait de plus en plus le sentiment que vous pouviez proposer une sorte d'approche générale qui couvrirait les principaux objectifs de l'autorisation et qui pourrait être réutilisée dans d'autres applications.Cet article examinera une approche architecturale généralisée de l'autorisation en utilisant l'exemple du développementcadre .

Approches pour créer un cadre

Comme d'habitude, avant de développer quelque chose de nouveau, vous devez décider quels problèmes seront résolus, comment le cadre sera pratique et utile et, peut-être, il existe déjà une solution toute faite (nous en parlerons plus tard).

Tout le monde connaît deux styles de codage: impératif et déclaratif. Le style impératif décrit comment obtenir le résultat, le style déclaratif décrit ce que vous voulez obtenir en conséquence.

, , . , , (permissions) ..

( ) , . , . ( ), — , .

, , . , , — . : , , — , .

:

1. — , ..
2. —

: ( xml, yaml, properties), java annotations.

, , :

1. Java annotations java, JVM, runtime, compile time.
2. , .. .
3. , .. java.

:

• , ( , Admin, Viewer, Editor)
• , (permissions) ( , .. )
• , ( actions) ( ), .. , ( ) , , ( create, modify, delete). , . action-based , — , , , .

. , . .

, java annotations . — .. . Java Annotation Processing, .

Java Module System, Oracle, JDK 9, .

:

• , , , , , .. .
• (actions)
• , ()
• ( ) ()
• () — , ,

Easy-ABAC Framework

.

Spring Boot .

( maven):

<dependency>
  <groupId>com.exadel.security</groupId>
  <artifactId>easy-abac</artifactId>
  <version>1.1</version>
</dependency>

1.1.

, :

@SpringBootApplication
@Import(AbacConfiguration.class)
public class Application {

    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }
}

Project . , .

1.

, :

:

(, , , .. — ).

:

import com.exadel.easyabac.model.core.Action;

public enum ProjectAction implements Action {
    VIEW,
    UPDATE,
    CLOSE,
    DELETE
}

- com.exadel.easyabac.model.core.Action. enum — .

, enum () , — , .

2.

- :

@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.PARAMETER)
public @interface ProjectId {
}

.

:

import com.exadel.easyabac.model.annotation.Access;
import com.exadel.easyabac.model.validation.EntityAccessValidator;

import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;

@Retention(RetentionPolicy.RUNTIME)
@Target({ElementType.METHOD, ElementType.TYPE})
@Access(identifier = ProjectId.class)
public @interface ProjectAccess {

    ProjectAction[] actions();

    Class<? extends EntityAccessValidator> validator();
}

actions validator , :

Error:(13, 9) java: value() method is missing for @com.example.abac.model.ProjectAccess
Error:(13, 9) java: validator() method is missing for @com.example.abac.model.ProjectAccess

Target:

@Target({ElementType.METHOD, ElementType.TYPE})

, — instance- .

3.

:

import com.exadel.easyabac.model.validation.EntityAccessValidator;
import com.exadel.easyabac.model.validation.ExecutionContext;
import com.example.abac.model.ProjectAction;
import org.springframework.stereotype.Component;

@Component
public class ProjectValidator implements EntityAccessValidator<ProjectAction> {

    @Override
    public void validate(ExecutionContext<ProjectAction> context) {
        // here get current user actions
        // and compare them with context.getRequiredActions()
    }
}

( ):

@Retention(RetentionPolicy.RUNTIME)
@Target({ElementType.METHOD, ElementType.TYPE})
@Access(identifier = ProjectId.class)
public @interface ProjectAccess {

    ProjectAction[] value();

    Class<? extends EntityAccessValidator> validator() default ProjectValidator.class;
}

:

@ProjectAccess(value = ProjectAction.VIEW, validator = ProjectValidator.class)

4.

, :

import com.exadel.easyabac.model.annotation.ProtectedResource;
import com.example.abac.Project;
import com.example.abac.model.ProjectAccess;
import com.example.abac.model.ProjectAction;
import com.example.abac.model.ProjectId;
import org.springframework.web.bind.annotation.*;

@RestController
@ProtectedResource
@RequestMapping("/project/{projectId}")
public class ProjectController {

    @GetMapping
    @ProjectAccess(ProjectAction.VIEW)
    public Project getProject(@ProjectId @PathVariable("projectId") Long projectId) {
        Project project = ...; // get project here
        return project;
    }

    @PostMapping
    @ProjectAccess({ProjectAction.VIEW, ProjectAction.UPDATE})
    public Project updateProject(@ProjectId @PathVariable("projectId") Long projectId) {
        Project project = ...; // update project here
        return project;
    }

    @PostMapping("/close")
    @ProjectAccess(ProjectAction.CLOSE)
    public Project updateProject(@ProjectId @PathVariable("projectId") Long projectId) {
        Project project = ...; // close project here
        return project;
    }

    @DeleteMapping
    @ProjectAccess(ProjectAction.DELETE)
    public Project updateProject(@ProjectId @PathVariable("projectId") Long projectId) {
        Project project = ...; // delete project here
        return project;
    }
}

@ProtectedResource , — instance- @Access-based , — .

@PublicResource , , , @ProtectedResource

, , . , ( ).

5.

. . , , — -.

, EntityAccessValidator, validate:

public void validate(ExecutionContext<Action> context);

ExecutionContext - : context.getRequiredActions() Action, .

Action — — . Action(s) : , ...

2 Actions — , — Action — . exception, , AccessDeniedException ExceptionHandler HTTP status 403 — .

.

, - , , - . , , :

: Apache Shiro, JAAS, Spring Security.

Apache Shiro JAAS , , JAAS , Apache Shiro — — , ,

Spring Security — ( ), , compile-time. . , .

Easy-ABAC Framework , , — ...

, . " " .

spring-based . Spring.

.

C

1. Java
4. Spring-based

L'article traite des approches architecturales de l'autorisation, présentées par Easy-ABAC Framework.

Parmi les avantages du cadre développé figurent:

1. Style d'autorisation déclarative
2. Gestion des erreurs de configuration au moment de la compilation
3. Configuration simple et directe
4. Souplesse