keycloak-extension-playground安全最佳实践：保护你的自定义扩展

keycloak-extension-playground安全最佳实践：保护你的自定义扩展

【免费下载链接】keycloak-extension-playgroundSimple project environment for creating custom Keycloak extensions项目地址: https://gitcode.com/gh_mirrors/ke/keycloak-extension-playground

keycloak-extension-playground是一个用于创建自定义Keycloak扩展的简单项目环境，通过遵循安全最佳实践，可以有效保护你的自定义扩展免受各种安全威胁。

1. 实施严格的认证与授权控制

1.1 基于角色的访问控制

在Keycloak中，基于角色的访问控制是保护资源的基础。通过require-role认证器，你可以根据用户的角色来限制对客户端的访问。

如上图所示，在认证流程中添加"Require Role"执行步骤，可以确保只有拥有特定角色的用户才能通过认证。你可以配置固定的领域角色、固定的客户端角色或动态的客户端角色。例如，表达式${clientId}.user要求用户拥有目标客户端的user角色才能访问该应用。

当用户缺少必要的角色时，系统会显示访问被拒绝的错误信息：

1.2 细粒度的访问策略控制

除了基本的角色控制外，还可以通过auth-check-authz-policy-extension实现更细粒度的访问策略控制。该扩展允许你定义JSON格式的访问策略，其中包含客户端ID的正则模式和允许访问的角色列表。

例如，以下策略允许拥有domain-role角色的用户访问匹配app-domain-(a|b|c)模式的客户端：

{ "app": "app-domain-(a|b|c)", "allow": ["domain-role"] }

2. 强化多因素认证机制

2.1 备份码认证

为了防止用户因无法访问主要的多因素认证设备而被锁定，可以实现备份码认证机制。auth-backup-codes扩展提供了这样的功能，允许用户生成一组一次性使用的备份码。

备份码在存储前会经过加密处理，确保即使数据库被泄露，攻击者也无法使用这些备份码。当用户使用备份码登录时，系统会自动将该码标记为已使用，防止重复使用。

2.2 可信设备认证

通过auth-trust-device扩展，你可以实现可信设备认证，从而在用户使用可信设备登录时简化认证流程，同时保持对未知设备的严格认证要求。

可信设备认证的工作原理是：

1. 用户首次在设备上登录时，系统会提示是否将该设备标记为可信
2. 如果用户选择信任设备，系统会生成一个加密的设备令牌并存储在Cookie中
3. 后续登录时，系统会验证设备令牌，如果有效且设备被标记为可信，则可以跳过某些认证步骤

3. 安全的密码管理策略

3.1 密码策略执行

Keycloak提供了强大的密码策略功能，你可以通过custom-password-policy扩展来自定义密码策略。例如，你可以实现最小密码年龄限制，防止用户频繁更改密码。

// 检查密码年龄的代码示例 List<CredentialModel> passwords = context.getSession().userCredentialManager().getStoredCredentialsByType(realm, user, PasswordCredentialModel.TYPE); if (!passwords.isEmpty()) { CredentialModel passwordCredential = passwords.get(0); Instant creationTime = Instant.ofEpochMilli(passwordCredential.getCreatedDate()); if (Duration.between(creationTime, Instant.now()).compareTo(minPasswordAge) < 0) { log.warnf("Access denied because of min password age. realm=%s username=%s", realm.getName(), user.getUsername()); context.failure(AuthenticationFlowError.INVALID_CREDENTIALS); return; } }

3.2 安全的密码存储

确保密码以安全的方式存储是至关重要的。Keycloak默认使用PBKDF2算法对密码进行哈希处理，你可以通过扩展进一步增强密码存储的安全性。

// 密码加密存储示例 PasswordHashProvider passwordHashProvider = session.getProvider(PasswordHashProvider.class, "pbkdf2"); if (passwordHashProvider == null) { log.errorf("Could not find hashProvider to hash backup codes. realm=%s user=%s providerId=%s", realm.getId(), user.getId(), "pbkdf2"); throw new RuntimeException("Cloud not find hashProvider to hash backup codes"); } PasswordCredentialModel encodedBackupCode = passwordHashProvider.encodedCredential(backupCode.getCode(), backupCodeConfig.getBackupCodeHashIterations());

4. 安全的会话管理

4.1 会话传播安全

在分布式系统中，会话传播需要特别注意安全问题。auth-session-propagation-extension提供了安全的会话传播机制，使用加密技术保护会话信息。

// 会话信息加密示例 String encryptionKey = encryptionKeyFrom(sharedEncryptionKey, encryptionKeySalt); String encryptedSessionHandle = CryptoUtil.encrypt(sessionHandle, encryptionKey);

最佳实践：始终从环境变量或安全的配置存储中获取加密密钥，避免在代码中硬编码密钥。

4.2 会话超时和刷新策略

合理配置会话超时和刷新策略可以减少会话劫持的风险。Keycloak允许你配置访问令牌和刷新令牌的生命周期，你应该根据应用的安全需求设置适当的值。

5. 安全开发实践

5.1 输入验证和输出编码

在开发自定义扩展时，务必对所有用户输入进行严格验证，并对输出进行适当编码，以防止注入攻击和跨站脚本攻击(XSS)。

5.2 安全的依赖管理

定期更新项目依赖，确保使用的库没有已知的安全漏洞。你可以使用Maven的依赖检查插件来扫描项目依赖中的安全问题。

<!-- Maven依赖检查插件示例 --> <plugin> <groupId>org.owasp</groupId> <artifactId>dependency-check-maven</artifactId> <version>7.1.0</version> <executions> <execution> <goals> <goal>check</goal> </goals> </execution> </executions> </plugin>

5.3 代码安全审查

在将扩展部署到生产环境之前，进行代码安全审查是一个好习惯。重点关注认证、授权、数据加密和输入验证等关键安全点。

6. 总结

通过实施上述安全最佳实践，你可以显著提高keycloak-extension-playground中自定义扩展的安全性。记住，安全是一个持续的过程，需要定期更新和改进你的安全策略。

关键安全措施包括：实施严格的认证与授权控制、强化多因素认证机制、采用安全的密码管理策略、管理会话安全以及遵循安全开发实践。结合这些措施，你可以构建出更加安全可靠的Keycloak扩展。

要开始使用keycloak-extension-playground，你可以克隆仓库：https://gitcode.com/gh_mirrors/ke/keycloak-extension-playground，然后根据项目文档开始开发你的安全扩展。

【免费下载链接】keycloak-extension-playgroundSimple project environment for creating custom Keycloak extensions项目地址: https://gitcode.com/gh_mirrors/ke/keycloak-extension-playground