Spring安全中的HTTP基本認證安全性來自SQL注入

Question

我在Spring MVC項目中使用HTTP基本認證。 Spring的身份驗證是否受到SQL注入的保護？

任何專家都可以提供這方面的聲明？或者提供一個聲明的鏈接。

Answer 1

與Simeon一致，它與您應用於標準框架的任何基礎自定義一樣安全。

JdbcDaoImpl的標準框架實現對所有JDBC訪問使用PreparedStatement，即使修改查詢，也應該防止SQL注入攻擊。但是，如果您擴展它或編寫自己的實施方案，則所有投注都將關閉。

從架構的角度來看，您的問題並不完全準確 - 傳遞身份驗證憑據的方法（基本上，您的情況）並不直接影響實際到達數據庫的內容。收據和證書驗證之間有一個很好的抽象層。我建議參考Spring Security文檔來理解爲什麼會這樣。

Answer 2

你如何檢查用戶憑證？

如果您正在使用UserDetailsService來檢查針對數據庫的用戶憑據，那麼保護自己免於注入的責任屬於您，因爲您正在構建查詢。