Spring Security 在 WebFlux 下的权限绕过分析

前言

Spring Security 是 Spring 生态系统中广泛使用的安全框架，用于处理认证和授权。在传统的 Servlet 栈中，Spring Security 通过过滤器链来实现安全控制。而在响应式编程模型 WebFlux 中，Spring Security 采用了不同的实现方式，这可能导致一些安全配置上的差异和潜在的权限绕过问题。

环境搭建

要分析 WebFlux 下的权限绕过问题，首先需要搭建一个基于 Spring WebFlux 和 Spring Security 的测试环境：

1. 创建 Spring Boot 项目并添加依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-webflux</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2. 配置基本的安全规则：

@EnableWebFluxSecurity
public class SecurityConfig {
    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        return http
            .authorizeExchange()
                .pathMatchers("/admin/**").hasRole("ADMIN")
                .pathMatchers("/user/**").hasRole("USER")
                .anyExchange().permitAll()
            .and()
            .httpBasic()
            .and()
            .build();
    }
}

漏洞复现

在 WebFlux 环境下，路径匹配逻辑与传统的 Servlet 环境有所不同，可能导致权限绕过。以下是几种常见的绕过场景：

场景1：路径规范化差异

.pathMatchers("/admin/**").hasRole("ADMIN")

攻击者可能通过以下方式绕过：

• /admin/../public - 在某些配置下可能被解析为 /public
• /admin//subpath - 多余的斜杠可能导致匹配失败

场景2：大小写敏感性问题

如果配置不当，路径匹配可能对大小写不敏感：

• /ADMIN/panel 可能绕过 /admin/** 的权限检查

场景3：后缀匹配问题

.pathMatchers("/api/user").hasRole("USER")

攻击者可能通过添加后缀绕过：

• /api/user.json
• /api/user/

漏洞分析

WebFlux 解析路径流程

1. 请求接收：WebFlux 通过 HttpWebHandlerAdapter 接收请求
2. 路径解析：使用 PathPatternParser 解析请求路径
3. 路径匹配：与配置的 PathPattern 进行匹配
4. 安全决策：根据匹配结果应用相应的安全规则

Security 的 pathMatchers 匹配流程

1. PathPatternParser 将配置的路径模式转换为 PathPattern 对象
2. 对于每个请求，PathPattern 尝试与请求路径匹配
3. 匹配时考虑：
   • 路径分隔符 (/)
   • 通配符 (*, **)
   • 路径变量 ({var})
   • 正则表达式

绕过原理总结

权限绕过的根本原因在于路径解析和匹配过程中的不一致性：

1. 路径规范化差异：WebFlux 和底层服务器对路径规范化的处理可能不同
2. 匹配严格度不足：pathMatchers 默认配置可能不够严格
3. 大小写敏感性：默认情况下可能不区分大小写
4. 后缀处理：对路径后缀的处理可能导致绕过

防御措施

1. 使用严格的路径匹配：

.pathMatchers("/admin/**").hasRole("ADMIN")
// 添加明确的拒绝规则
.pathMatchers("/admin").denyAll()
.pathMatchers("/admin/*").denyAll()

2. 规范化路径：

http.pathMatchers("/admin/**").hasRole("ADMIN")
    .pathMatchers("/admin").hasRole("ADMIN")
    .pathMatchers("/admin/").hasRole("ADMIN");

3. 使用正则表达式进行严格匹配：

.pathMatchers("/admin/{*path}").hasRole("ADMIN")

4. 启用严格模式：

@Bean
public PathPatternParser pathPatternParser() {
    PathPatternParser parser = new PathPatternParser();
    parser.setMatchOptionalTrailingSeparator(false);
    return parser;
}

5. 测试边缘情况：

• 测试各种路径变形：/admin, /admin/, /admin//, /admin/../, /ADMIN/ 等
• 测试带后缀的路径：/admin.json, /admin/panel.xml 等

最佳实践

1. 始终对安全路径配置进行完整测试
2. 使用最小权限原则，默认拒绝所有请求
3. 定期审查安全配置，特别是路径匹配规则
4. 考虑使用自定义的 PathPatternParser 以确保一致的路径解析
5. 在可能的情况下，使用基于方法的安全注解作为补充

@PreAuthorize("hasRole('ADMIN')")
@GetMapping("/admin/manage")
public Mono<String> manage() {
    // ...
}

通过理解 WebFlux 环境下 Spring Security 的工作原理和潜在的权限绕过场景，开发人员可以更安全地配置应用程序，防止未授权访问。