Configuración de Seguridad con Spring Security y Basic Authentication

Clase 5 de 23 • Curso de Java Spring Security: Autenticación y Seguridad Web

Resumen

¿Cómo podemos configurar un Security Filter Chain en Spring?

Crear un Security Filter Chain en Spring nos permite manejar la seguridad de nuestras aplicaciones, definiendo cómo se autenticará y autorizará cada petición HTTP. Primero, debemos crear un paquete específico para la configuración de seguridad y una clase donde implementaremos los filtros necesarios.

¿Cómo creamos la configuración inicial de seguridad?

Crear un paquete nuevo: Dentro de la capa web del proyecto, crea un paquete llamado Config.
Anotar la clase con @Configuration: Esto permite que Spring gestione e inyecte automáticamente este bean dentro de la aplicación.
Definir el método Security Filter Chain: Crea un método público que retorne un SecurityFilterChain y reciba un HttpSecurity como parámetro.

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http.build();
    }
}

¿Cómo permitimos o restringimos peticiones HTTP?

Definir las reglas para autorizar peticiones es crucial para proteger una aplicación. Inicialmente, podemos permitir todas las peticiones, y posteriormente, aplicar seguridad ajustando estas configuraciones.

Permitir todas las peticiones: Esto esencialmente elimina las capas de autenticación.
```
http
    .authorizeRequests()
    .anyRequest().permitAll();
```
Requerir autenticación básica para todas las peticiones: Prioriza la seguridad solicitando autenticación en cada acceso.
```
http
    .authorizeRequests()
    .anyRequest().authenticated()
    .and().httpBasic();
```

¿Cómo validamos la configuración con Postman?

Con la configuración inicial realizada, verifica el comportamiento utilizando herramientas como Postman:

Probar sin autorización: Elimina el encabezado de autorización y envía la petición. Si logras recibir una respuesta, significa que la seguridad está desactivada.
Activar Basic Authentication: Configura la autenticación básica con el usuario y contraseña generados por Spring. Observa que las peticiones ahora requieren credenciales válidas.

En el código, aseguramos que las peticiones usen autenticación básica y verificamos el funcionamiento del filtro correspondiente:

http
    .authorizeRequests()
    .anyRequest().authenticated()
    .and().httpBasic();

Al lanzar la aplicación, el filtro BasicAuthenticationFilter gestionará las autenticaciones. Si el header de la autorización no está presente o es incorrecto, la petición será denegada.

¿Qué debemos tener en cuenta al implementar seguridad en Spring?

Gestión de usuarios y contraseñas: Usar User como el usuario por defecto puede ser seguro para desarrollo, pero en producción es crucial personalizar estas credenciales.
Desactivar filtros innecesarios: Spring incluye múltiples filtros por defecto. Solo mantén los relevantes para tu caso y desactiva el resto explícitamente.
Revisar la documentación de Spring Security: Spring es una herramienta poderosa, y conocer sus capacidades nos ayudará a adaptar más funcionalidades.

Este enfoque fortalece tu aplicación contra accesos no autorizados e intenta hacerlo accesible a usuarios válidos. Continúa explorando y ampliando tus habilidades en seguridad con Spring para dominar estos conceptos.

Rene Cruz Flores

student•

La forma de configurar el objeto http que se muestra en la clase está deprecada, aquí una forma en que se puede configurar con los mismos parámetros, pero en la nueva forma:

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(customizeRequests -> {
            customizeRequests
                    .anyRequest()
                    .authenticated();
            }
        ).httpBasic(Customizer.withDefaults());
    
    return http.build();
}

Brayan Estiben Rodallega Saavedra

student•

Ok, gracias!

David Herdoiza

student•

Muchas gracias, excelente aporte

Julián Peña

student•

Me sirvió de esta forma, la que el profe utiliza en el video esta deprecated

@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .anyRequest()
                .permitAll();

        return http.build();
    }
}

Julián Peña

student•

Muchachos, es mejor que trabajen con una version inferior a la 3.1.0 de springboot, cuando esten creando su proyecto con Spring Initializr, seleccionen una version de springboot inferior a la 3.1.0 y ya con eso el SpringSecurity será inferior a la version 6.1.0 y con eso tal cual como dicta el profe el curso les funcionará.

Juan Pablo Corvalán

student•

Cuál versión en concreto debería utilizar? Modifiqué mi pom.xml (trabajo con Maven) y puse versiones del "spring-boot-starter-security" y del "spring-security-test" de hasta inicios del 2022 y aún así no funcionaba el código como lo dictaba el profe. También estoy con la versión 2.5.9 de Spring Boot

Alexis Gutiérrez

student•

para el 2023 lo hice de esta manera guaindome de la documentación oficial de spring-security

@Configuration public class SecurityConfig {

@Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception{ http .authorizeHttpRequests((authorize) -> authorize .anyRequest().permitAll());

return http.build(); } }

JUAN CARLOS HURTADO MARTINEZ

student•

En las versiones actuales se puede usar el siguiente ejemplo:

@Configuration public class SecurityConfig {

@Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests((authorize) -> authorize .anyRequest().authenticated() ) .httpBasic(withDefaults()); return http.build(); }

}

Frandel Corporan Rodríguez

student•

gracias, ya reporte la clase

Elioenai Garcia

student•

Comparto mi solución del error que sale en esta clase: 😎

[Spring 3.3.4] 👇

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                    .anyRequest()
                    .authenticated())
            .httpBasic(Customizer.withDefaults());

        return http.build();
    }
}

Elioenai Garcia

student•

Si ven algún carácter especial es porque el editor de comentarios de la plataforma lo pone así 😓

Hinder Adrian Alvarez Perlaza

student•

Genial!! gracias por el aporte 😁

Sebastian Camacho

student•

Me surgen dudas en cuanto a la creación del SecurityConfig. Si Spring Security crea por defecto una cadena de seguridad, donde se especifica a spring que tome como configuración nuestra clase creada y deje a un lado toda su configuración por defecto? En que momento se sobrescribe la configuración por default por nuestra configuración custom?

John Steven Bernal Gonzalez

student•

Me funciono de esta forma, el metodo que ofrece el profesor dice que esta Deprecated

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .anyRequest()
                .authenticated()
                .and()
                .httpBasic(Customizer.withDefaults());

        return http.build();
    }
}

Con Customizer.withDefaults() te proporciona más flexibilidad si necesitas personalizar la configuración básica de autenticación.

Omar Villada

student•

Qué es un Bean?

Andrés Mauricio Cárdenas Alvarado

student•

Teniendo en cuenta la evolución de Spring, y dado que lo visto ya esta deprecado se puede generar esta solución para continuar con la ejecución en la máquina local

@Configuration public class SecurityConfig {

@Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests( (authorize) -> authorize .anyRequest() .authenticated()).httpBasic(``withDefaults``()); return http.build(); }

}

Elioenai Garcia

student•

Comparto mi solución del error que sale en esta clase: 😎

[Spring 3.3.4] 👇

@Configuration @EnableWebSecurity public class SecurityConfig {

@Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests(authorize -> authorize .anyRequest() .authenticated()) .httpBasic(Customizer.withDefaults());

return http.build(); } }

Omar Villada

student•

https://docs.spring.io/spring-security/reference/6.0-SNAPSHOT/servlet/authorization/authorize-http-requests.html

Elioenai Garcia

student•

Comparto mi solución del error que sale en esta clase: 😎[Spring 3.3.4] 👇

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                    .anyRequest()
                    .authenticated())
            .httpBasic(Customizer.withDefaults());

        return http.build();
    }
}

Alexander Coronell

student•

A esta fecha del 2024 construí la clase de la siguiente manera:

package com.platzi.pizzeria.web.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.Customizer;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests((authorize) -> authorize.anyRequest().authenticated()).httpBasic(Customizer.withDefaults());
        return http.build();
    }
}

J. Sebastián Botello. H.

student•

Si estás usando spring 3.2.2 y java 21 les comparto mir configuración


@Configuration

@EnableWebSecurity

public class SecurityConfig {



&#x20; @Value("${app.security.ignored}")

&#x20; private String\[] authWhiteList;



&#x20; @Bean

&#x20; public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

&#x20;   http

&#x20;       // Disable CSRF since it is a REST API

&#x20;       .csrf(AbstractHttpConfigurer::disable)

&#x20;       // Enable CORS configuration

&#x20;       .cors(cors -> {})

&#x20;       // Configuring session management to be stateless

&#x20;       .sessionManagement(

&#x20;           sessionManagement ->

&#x20;               sessionManagement.sessionCreationPolicy(SessionCreationPolicy.STATELESS))

&#x20;       // Configuring route authorizations

&#x20;       .authorizeHttpRequests(

&#x20;           auth ->

&#x20;               auth

&#x20;                   // Allow unauthenticated access to Swagger and other required endpoints

&#x20;                   .requestMatchers(authWhiteList).permitAll()

&#x20;                   .requestMatchers(PUBLIC\_API + "\*\*").permitAll()

&#x20;                   .anyRequest().authenticated())

&#x20;       // Add our JWT filter before the username and password authentication filter

&#x20;       .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);



&#x20;   return http.build();

&#x20; }



&#x20; @Bean

&#x20; public JwtAuthenticationFilter jwtAuthenticationFilter() {

&#x20;   return new JwtAuthenticationFilter();

&#x20; }

}

juan francisco lencina

student•

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
                .authorizeRequests(authorize -> authorize
                        .anyRequest().permitAll())
                .httpBasic(withDefaults());

        return http.build();
    }
}
```esta es lo forma que encontre para que funcione.

RECUERDA, que al enviar la solicitud en Posman no te olvides de indicar en AUTHORIZATION TYPE No Auth

andres felipe ibarra

student•

cordial saludo

en el filterchain esta linea

http.authorizeHttpRequests().anyRequest().permitAll(); aparece como deprecated? hay alguna alternativa en este caso para controlar este segmento ?

ANDRES ALFONSO MIRA MEJIA

student•

✅