刷新令牌允许用户无需重新进行身份验证即可获取新的访问令牌,从而确保更加无缝的身份验证体验。这是通过使用长期刷新令牌来获取新的访问令牌来完成的,即使原始访问令牌已过期也是如此。
原文:Spring Boot and OAuth2 译者:nycgym 原文:http://www.spring4all.com/article/827 本指南将向你展示如何使用OAuth2和Spri
如果你已经做了很长时间的 Web 开发,你可能知道我们的很多工作都是围绕着数据展开的:读取数据、写入数据、操作数据,并以合理的方式在浏览器中显示出来。
kong 官方文档: https://docs.konghq.com/getting-started-guide/2.4.x/overview/ https://docs.konghq.com/enterprise/2.4.x/admin-api/#service-object
在微服务场景中,身份认证通常是集中处理,这也是有别于单体应用一把梭哈的模式,其中,在微软微服务白皮书中,提供了两种身份认证模式:
通常,每一层(前端,中间层和后端)都必须保护资源并实施身份验证和/或授权-经常针对同一用户存储。
一开始,有一些专有方法可以与外部身份提供者合作进行身份验证和授权。然后是 SAML(安全断言标记语言)——一种使用 XML 作为其消息交换类型的开放标准。然后,出现了 OAuth 和 OAuth 2.0——同样是开放的,也是一种使用 JSON 作为媒介的现代 RESTful 授权方法。现在,“安全委托访问”的圣杯 OpenID Connect(以下简称 OIDC)运行在 OAuth 2.0 之上。
从高层次开始,OAuth 不是API或服务:它是授权的开放标准,任何人都可以实施它。
本文原文:Laravel API Tutorial: How to Build and Test a RESTful API
过去十年来,OAuth2授权协议备受争议,您可能已经听说过很多"return_uri"技巧、令牌泄漏、对客户端的CSRF式攻击等等,在这篇文章中,我们将介绍三个全新的OAuth2和OpenID Connect漏洞:"动态客户端注册:SSRF设计","redirect_uri会话中毒"和"WebFinger用户枚举",我们将介绍关键概念,并在两台开源OAuth服务器(ForgeRock OpenAM和MITREid Connect)上演示这些攻击,最后提供一些有关如何自行检测这些漏洞的方法~
在网络应用程序开发中,安全性和用户身份验证是至关重要的方面。OAuth2(开放授权2.0)是一种广泛应用于网络身份验证和授权的标准协议。它允许客户端应用程序以安全且受控的方式访问受保护资源,而无需用户提供其凭据。
Symfony是一个web应用开发框架,包含一组可重用的PHP组件。Symfony已经应用于上千个web应用,包括BlaBlaCar.com和Spotify.com以及大多数流行的PHP项目中,例如Drupal和Magento。
这是用户指南的支持OAuth 2.0。对于OAuth 1.0,一切都是不同的,所以看到它的用户指南。
这个示例展示了OAuth2和JWT如何协同工作来实现单点登录和授权。通过使用Spring Cloud Security,我们可以轻松地实现这些功能,并提供强大而灵活的安全性支持。演示如何使用Spring Cloud Security和Spring Cloud Gateway来实现基于JWT和OAuth2的单点登录:
这个用户指南支持OAuth 2.0。对于OAuth 1.0,一切都是不同的,所以去这里看它的用户指南。
原文:Spring Security Architecture 译者:徐靖峰 校对:马超君 专题指南 本文是 Spring Security 的入门指南,并对 Spring Security 的框架设计和基础组件进行深度解析。我们仅涉及应用程序安全性的基础知识,但这已足够消除开发人员在使用 Spring Security 时遇到的一些困惑。要做到这一点,我们需要了解如何使用过滤器和方法注解来保障Web应用程序的安全性。如果你需要了解高级别安全应用程序的工作方式,以及如何定制安全应用程序,或只需要学习如何思考
Django REST Framework(DRF)提供了各种身份验证选项,以确保您的API端点仅对授权用户可用。
PetitPotam技术在人们的脑海 中仍然记忆犹新。虽然它不是直接的利用,但它是一个有用的步骤,可以从特权帐户获取未经身份验证的 NTLM 以转发到 AD CS Web 注册服务之类的东西以破坏 Windows 域。有趣的是,在微软最初对修复这些问题不屑一顾之后,他们发布了一个修复程序,尽管在撰写本文时似乎还不够。
传统的client-server授权模型,客户端通过使用凭证(通常的用户名和明文密码)访问服务端受保护的资源,为了能够让第三方应用程序访问受保护的资源,需要将凭证共享给第三方。
Oauth2.0是一个很通用的验证框架,很多编程语言都对其进行了实现,包括Java、PHP、Python、NodeJS、Ruby、NET、Erlang、Go、C等。大家可以在如下页面,查看自己所使用语言的实现方案。
现代 IT 环境日益动态化。例如,Kubernetes 正在突破许多 IT 组织的可能性。
欢迎大家围观小阑精心整理的API安全最新资讯,在这里你能看到最专业、最前沿的API安全技术和产业资讯,我们提供关于全球API安全资讯与信息安全深度观察。
传统上,企业应用程序在公司网络中部署和运行。为了获取有关用户的信息,如用户配置文件和组信息,这些应用程序中的许多都是为与公司目录(如Microsoft Active Directory)集成而构建的。更重要的是,通常使用目录存储和验证用户的凭据。例如,如果您使用在本地运行的SharePoint和Exchange,则您的登录凭据就是您的Active Directory凭据。
Spring Security 是一个用于保护基于 Java 的应用程序的框架。它是一个功能强大且高度可定制的身份验证和访问控制框架,可以轻松地集成到各种应用程序中,包括 Web 应用程序和 RESTful Web 服务。 Spring Security 提供了全面的安全解决方案,用于身份验证和授权,并且可以用于在 Web 和方法级别上保护应用程序。
作者:Prosper Otemuyiwa 译者:java达人 来源:https://ponyfoo.com/articles/json-web-tokens-vs-session-cookies 什么是JWT JSON Web Token(JWT)是一种开放标准(RFC 7519),它定义了一种紧凑且独立的方式,可以将各方之间的信息作为JSON对象进行安全传输。 该信息可以验证和信任,因为是经过数字签名的。 JWT可以使用秘钥(使用HMAC算法)或使用RSA的公钥/私钥对进行签名。 JWT剖析 JWT基本
Sentry API 用于向 Sentry collector 提交事件以及导出和管理数据。本文档仅涉及 Web API。
随着互联网的普及和应用程序的发展,数据安全和隐私保护成为了至关重要的问题。在开发Java应用程序时,保护传输的数据免受未经授权的访问变得尤为重要。本文将介绍如何使用Spring MVC和一些加密技术来保护您的RestAPI,以确保数据在传输过程中是安全的。
如果你的工作或者生活与网络安全有关,你就知道它使用了自己独特的、不断发展的语言。术语和缩略语受到网络安全专家的喜爱。因此,我们创建了一个全面的网络安全词汇表,解释了常用的网络安全术语、短语和技术。我们设计此列表是为了揭开安全专业人员在描述安全工具、威胁、流程和技术时使用的术语的神秘面纱。我们会定期更新它,希望你会发现它是有用的。
作者 | Gilad David Maayan 译者 | 明知山 策划 | 丁晓昀 什么是零信任模型 零信任安全模型是一种设计和实现安全 IT 系统的方法。零信任背后的基本概念是“从不信任,总是需要验证”。这意味着用户、设备和连接在默认情况下永远不受信任,即使他们在连接到公司网络或之前已经通过身份验证。 现代 IT 环境由许多互相连接的组件组成,包括内部服务器、基于云的服务、移动设备、边缘位置和物联网(IoT)设备。传统的安全模型保护所谓的“网络边界”,在这种复杂的环境中是无效的。 攻击者可以
服务器端应用程序是处理 OAuth 服务器时遇到的最常见的应用程序类型。这些应用程序在 Web 服务器上运行,其中应用程序的源代码不向公众开放,因此它们可以维护其客户端机密的机密性。
微服务架构越来越多地用于在基于云的和本地基础设施、大规模应用程序和服务中设计和实现应用程序系统。在应用程序设计和实施阶段需要解决许多安全挑战。在设计阶段必须解决的基本安全要求是身份验证和授权。因此,对于应用程序安全架构师来说,理解和正确使用现有架构模式在基于微服务的系统中实现身份验证和授权至关重要。本备忘单的目标是识别此类模式,并为应用程序安全架构师提供有关使用它的可能方式的建议。
如果您的基础架构由相互交互的多个应用程序组成,则您可能会遇到保护服务之间的通信安全以防止未经身份验证的请求的问题。
在本文中,我们将从Python Web开发人员的角度看处理Web身份验证的最常用方法。
浏览网络时,几乎可以肯定您会遇到一些使您可以使用社交媒体帐户登录的网站,该功能很可能是使用流行的OAuth 2.0框架构建的,OAuth 2.0对于攻击者来说非常有趣,因为它非常常见,而且天生就容易出现实现错误,这可能导致许多漏洞,从而使攻击者可以获得敏感用户数据,并有可能绕过身份验证。
Grafana Labs提供托管 Grafana 实例,但您也可以将 Grafana 部署为自托管实例。它受欢迎的一个迹象是,Gitlab 和 SourceGraph 等广泛使用的工具的最新版本随Grafana一起提供。
PHP 资源列表,内容包括:库、框架、模板、安全、代码分析、日志、第三方库、配置工具、Web 工具、书籍、电子书、经典博文等。 依赖管理 依赖和包管理库 Composer/Packagist:一个包和依赖管理器 Composer官网/Packagist官网 Composer Installers:一个多框架Composer库安装器 官网 Pickle:一个PHP扩展安装器 官网 其他的依赖管理 其他的相关依赖管理 Satis:一个静态Composer存储库生成器 官网 Composition:一个在运行时检
当今社会对电动汽车的需求激增,为了实现可持续增长,配套基础设施也同样要快速发展。未来需要建立一个可靠的电动汽车充电生态系统以满足客户的需求,同时确保互联网系统和连接的关键基础设施的安全,抵御可能的网络攻击。本研究设计了一种系统查找和收集方法,以获得广泛部署的电动汽车充电站管理系统 (EVCSMS,EV Charging Station Management Systems ) 的代表性样本。此外,利用逆向工程和渗透测试技术对已识别的 EVCSMS 及其软件/固件实现进行全面安全漏洞分析。
Spring Security 是一个强大且灵活的身份验证和访问控制框架,用于Java应用程序的安全性处理。它提供了对身份验证、授权、攻击防护等方面的支持。
网络安全已成为每个企业都面临的关键问题。几乎每天都有关于黑客如何窃取公司数据的头条新闻。为了开发安全的软件并远离头条新闻,企业需要解决各种安全问题,包括硬件的物理安全性、传输和静态数据加密、身份验证、访问授权以及修补软件漏洞的策略,等等。无论你使用的是单体还是微服务架构,大多数问题都是相同的。本文重点介绍微服务架构如何影响应用程序级别的安全性。
网络安全已成为每个企业都面临的关键问题。几乎每天都有关于黑客如何窃取公司数据的头条新闻。
导读:网络安全已成为每个企业都面临的关键问题。几乎每天都有关于黑客如何窃取公司数据的头条新闻。为了开发安全的软件并远离头条新闻,企业需要解决各种安全问题,包括硬件的物理安全性、传输和静态数据加密、身份验证、访问授权以及修补软件漏洞的策略,等等。无论你使用的是单体还是微服务架构,大多数问题都是相同的。本文重点介绍微服务架构如何影响应用程序级别的安全性。
我需要同时利用许多已知的 SSRF 技术来成功利用同一公司的许多端点。在发现之后,我将其应用于使用攻击者控制的 URL 的所有功能,并发现 2 个盲读和 1 个全读 SSRF。这是一个错误赏金计划,因此盲 SSRF 以 dups 的形式关闭,另一个被接受。
Azure AD 无缝单点登录 (SSO) 改善了使用 Azure AD 标识平台(例如 Microsoft 365)的服务的用户体验。配置了无缝 SSO 后,登录到其加入域的计算机的用户将自动登录到 Azure AD .
今天开始学习Identity Server4,顺便了解下.Net Core,以便于完善技术栈,最主要的是要跟上.Net的发展潮流,顺便帮助各位整理下官方文档,加上一些我自己对他的理解.
大家好!自我上次写作以来到现在已经有段时间了。今天,我想和大伙分享一些非常有意思的内容。为了存储及管理的方便,相信大家可能都会选择使用一些密码管理器来存储不同网站的密码(例如Facebook,Gmail等其他帐户)。那么,作为存储如此敏感数据的管理工具是否应该保证足够的安全性呢?
浏览器提供了各种持久化数据的解决方案。当存储令牌时,您应该权衡存储选择与安全风险。
每次你决定学习前端框架时,你定会反复听到这些术语(组件,路由和管理状态/状态管理)。
领取专属 10元无门槛券
手把手带您无忧上云