Spring Security (Spring WebFlux) 动态配置资源权限绕过风险分析

1. 背景概述

Spring Security 在 Spring MVC 和 Spring WebFlux 中的实现存在显著差异：

• Spring MVC：基于 Servlet 规范，使用 FilterInvocationSecurityMetadataSource 接口实现动态资源权限配置
• Spring WebFlux：基于 Reactor 模块，采用响应式编程模型，安全机制实现完全不同

2. Spring MVC 动态权限配置机制

2.1 核心接口

public interface FilterInvocationSecurityMetadataSource {
    Collection<ConfigAttribute> getAttributes(Object object);
    Collection<ConfigAttribute> getAllConfigAttributes();
    boolean supports(Class<?> clazz);
}

2.2 典型实现流程

1. 自定义类实现 FilterInvocationSecurityMetadataSource 接口
2. 从数据库或其他存储加载资源-权限映射关系
3. 在 getAttributes 方法中根据请求URL匹配权限规则
4. 将自定义实现注入到 Spring Security 过滤器链

3. Spring WebFlux 安全机制差异

3.1 核心组件

• SecurityWebFilterChain：响应式安全过滤器链
• ServerSecurityMetadataSource：WebFlux 版的权限元数据源（不存在）
• ReactiveAuthorizationManager：响应式授权管理器

3.2 关键区别

1. 无直接等效于 FilterInvocationSecurityMetadataSource 的接口
2. 权限配置主要通过 ServerHttpSecurity 的 DSL 方式
3. 授权决策基于响应式编程模型

4. WebFlux 动态权限实现方案

4.1 基于路由的权限配置

@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
    return http
        .authorizeExchange()
            .pathMatchers("/admin/**").hasRole("ADMIN")
            .pathMatchers("/user/**").hasRole("USER")
            .anyExchange().authenticated()
        .and().build();
}

4.2 动态权限实现风险点

4.2.1 路径匹配顺序问题

• 规则按声明顺序匹配，宽泛规则在前会导致后续规则失效
• 错误示例：

.pathMatchers("/**").permitAll()
.pathMatchers("/admin/**").hasRole("ADMIN")  // 此规则永远不会生效

4.2.2 动态规则加载时机

• 启动时加载：无法实时更新权限规则
• 运行时动态加载：需考虑线程安全和性能问题

4.2.3 缓存策略风险

• 权限规则缓存可能导致新规则不及时生效
• 缓存失效策略不当会造成权限绕过

5. 典型权限绕过场景分析

5.1 案例1：路径通配符滥用

.pathMatchers("/public/*").permitAll()
// 攻击者访问 /public/../admin 可能绕过限制

修复方案：

.pathMatchers("/public/**").permitAll()  // 使用双星号

5.2 案例2：方法级注解遗漏

@GetMapping("/api/admin")
public Mono<String> admin() {
    // 忘记添加 @PreAuthorize("hasRole('ADMIN')")
    return Mono.just("admin page");
}

5.3 案例3：响应式权限检查缺失

public Mono<ResponseEntity> getData(String id) {
    return repository.findById(id)
        .map(data -> {  // 缺少权限检查
            return ResponseEntity.ok(data);
        });
}

6. 安全开发建议

6.1 配置规范

1. 遵循"最小权限"原则，默认拒绝所有请求
2. 精确匹配优先于通配符匹配
3. 敏感路径规则应放在前面

6.2 代码审计要点

1. 检查 ServerHttpSecurity 配置顺序
2. 验证动态加载规则的线程安全性
3. 确认缓存失效策略是否合理
4. 检查是否所有端点都有适当的访问控制

6.3 测试验证方法

1. 使用不同权限账户测试边界路径
2. 验证规则更新后的实时生效情况
3. 测试路径遍历等绕过手法

7. 最佳实践示例

7.1 安全的动态权限配置

@Bean
public SecurityWebFilterChain securityWebFilterChain(
    ServerHttpSecurity http, 
    DynamicPermissionService permissionService) {
    
    return http
        .authorizeExchange()
            .pathMatchers("/login", "/public/**").permitAll()
            .anyExchange().access((mono, context) -> 
                mono.flatMap(auth -> permissionService.checkPermission(auth, context))
            )
        .and().build();
}

7.2 响应式权限检查服务

@Service
public class DynamicPermissionService {
    
    private final PermissionRepository permissionRepo;
    private final Cache<String, Set<String>> permissionCache;
    
    public Mono<AuthorizationDecision> checkPermission(
        Authentication auth, 
        AuthorizationContext context) {
        
        String path = context.getExchange().getRequest().getPath().value();
        return permissionCache.get(path)
            .switchIfEmpty(Mono.defer(() -> 
                permissionRepo.findByPath(path)
                    .doOnNext(perms -> permissionCache.put(path, perms))
            ))
            .map(perms -> new AuthorizationDecision(
                perms.stream().anyMatch(auth.getAuthorities()::contains)
            ));
    }
}

8. 总结

Spring WebFlux 的动态权限配置与 Spring MVC 有本质区别，开发人员需注意：

1. 理解响应式编程模型下的安全机制
2. 避免直接套用 Servlet 模式的实现方案
3. 特别注意路径匹配规则和顺序
4. 确保动态加载机制的线程安全和实时性

在代码审计时应重点关注权限规则的加载时机、匹配顺序和缓存策略，这些是权限绕过风险的高发区域。