Todentaminen Spring Securityssä

Abstract

Tässä opinnäytetyössä pureuduttiin Spring Securityn tunnistautumislogiikkaan ja käyttöönottoon. Työn tilaaja oli tamperelainen ohjelmistoalan yritys Dicode Oy.

Käyttäjän todentaminen ja käyttöoikeuksien tarkastelu on verkkosovellusten tärkeä osa-alue. Siksi ohjelmoijan on hyvä tietää, miten sovellusten turvallisuus toimii. Mitä paremmin ohjelmoija tuntee käyttämänsä alustan, sitä nopeammin hän osaa etsiä ratkaisuja vastaan tuleviin ongelmiin.

Spring Boot on tällä hetkellä yksi suosituimmista palvelinpuolen sovelluskehyksistä. Spring Security on Spring Bootin riippuvuus, jolla käyttäjän kirjautuminen palveluun on helppo toteuttaa. Spring Securityn käyttöönotto on vaivatonta, koska se on pitkälle autokonfiguroitu. Autokonfiguraatio luo sovelluksen taustalle komponentteja ja asetuksia, jotka kehittäjän täytyy osata ylikirjoittaa, sillä valmis konfiguraatio ei riitä sovellusten koon kasvaessa.

Opinnäytetyössä avattiin Spring Securityn tunnistautumislogiikkaa komponentti kerrallaan. Työssä käsiteltiin myös Spring Securityn keskeisimpien luokkien toimintaa sekä Spring Securityn käyttöönoton automatiikkaa. Lisäksi työssä käsiteltiin Dicode Oy:ssä Spring Securityn avulla toteutettua Tilaatulkki.fi-sivustoa todentamisen näkökulmasta. Lukijalle työ tarjoaa tiiviin suomenkielisen paketin Spring Securityn tunnistautumislogiikasta.

The subject of this thesis is the deployment of Spring Security and its authentication logic. The client for the thesis was Dicode Oy, a software company from Tampere, Finland.

Spring Boot is currently one of the most used server-side frameworks in software development. Spring Security is an authentication and access control framework, which Spring Boot may use as a dependency. It offers easy-to-use tools that allow authentication implementation.

The deployment of Spring Security is easy in principal, because Spring Security’s autoconfiguration automatically creates the necessary components without developer having to implement them. However, when applications grow in size and complexity, it is important for a developer to know how to override the default configuration and understand the basic concepts that autoconfiguration has created.

The thesis describes the components of Spring Security’s authentication logic individually. It introduces autoconfiguration of Spring Security and its essential authentication classes. It also inspects a web application created by Dicode Oy from the perspective of authentication. The thesis offers a compact introduction of Spring Security’s authentication logic.