基于SpringBoot+Vue 提升安全性措施

### Spring Boot 和 Vue 实施安全性措施的最佳实践

#### 1. 使用 HTTPS 协议
为了保护数据传输的安全，在生产环境中应始终启用HTTPS协议。这可以通过配置SSL证书来实现，确保客户端和服务器之间的通信加密[^1]。

server:
  port: 8443
  ssl:
    key-store-type: PKCS12
    key-store: classpath:keystore.p12
    key-store-password: secret
    key-alias: tomcat

#### 2. 配置跨站请求伪造 (CSRF) 保护
默认情况下，Spring Security会自动开启CSRF防护机制。对于基于表单的身份验证的应用程序来说非常有用；但对于RESTful API，则可能需要禁用它并采取其他方式防止攻击者利用此漏洞[^2]。

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable(); // 如果是纯API服务可以考虑关闭csrf
    }
}

#### 3. 启用CORS支持
当前端应用部署在一个域名下而后台接口位于另一个不同源时，就需要设置允许哪些域能够访问资源。通过`@CrossOrigin`注解或者全局配置都可以轻松完成这一操作[^3]。

@Configuration
public class CorsConfig implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("*")// 生产环境建议指定具体地址而不是*
                .allowedMethods("GET", "POST", "PUT", "DELETE");
    }
}

#### 4. 用户认证与授权管理
采用OAuth2或JWT(JSON Web Token)作为身份验证手段之一。前者适合于多平台登录场景下的统一账号体系构建；后者则更适用于无状态的服务端设计模式中，减少数据库查询次数提高性能效率的同时也增强了系统的可扩展性和灵活性[^4]。

{
  "alg": "HS256",
  "typ": "JWT"
}
{
  "sub": "username",
  "exp": 1300819370,
  ...
}

#### 5. 数据库敏感信息加密存储
无论是用户的密码还是个人隐私资料都应该经过哈希算法处理后再存入到持久化层内保存起来。bcrypt是一种广泛应用于现代web开发中的强散列函数选项[^5]。

@Autowired
private BCryptPasswordEncoder passwordEncoder;

String hashedPassword = passwordEncoder.encode(rawPassword);
boolean matches = passwordEncoder.matches(plainText, encodedPassword);