STOMP-Endpunkte mit Spring Security absichern
Lernen Sie, STOMP-Nachrichten in Spring zu authentifizieren und zu autorisieren und dabei Handshake, Ziele und benutzerspezifische Nachrichten vor unbefugtem Zugriff zu schützen.
STOMP-Endpunkte mit Spring Security absichern ist eine kostenlose WebSockets & Real-Time Systems with Spring-Lektion auf CoddyKit. Dies ist Lektion 4 von 4. Du kannst die komplette Lektion unten kostenlos lesen – dann übst du sie direkt im Browser mit einem integrierten Code-Editor und einem KI-Tutor rund um die Uhr. Sie ist Teil des WebSockets & Real-Time Systems with Spring-Lernpfads, und dein Fortschritt wird über Web und CoddyKit-App synchronisiert. Der WebSockets & Real-Time Systems with Spring-Kurs umfasst insgesamt 4 Lektionen.
Teile dieser Lektion wurden noch nicht übersetzt und werden auf Englisch angezeigt.
Why Secure STOMP?
An open STOMP endpoint lets anyone subscribe to and publish on any destination. Securing STOMP ensures only authenticated users connect and only authorized users access specific destinations.
This lesson layers Spring Security onto STOMP messaging.
Two Layers of Security
STOMP security operates at two levels:
- Handshake: authenticate the user when the WebSocket connection opens
- Message: authorize each SUBSCRIBE and SEND to a destination
Both layers are needed for real protection.
Authenticating the Handshake
The connection should carry the user's identity. With session-based auth, Spring Security propagates the HTTP session principal into the WebSocket session automatically.
Token Auth on CONNECT
For token-based auth, read the token from the STOMP CONNECT frame headers using a ChannelInterceptor and set the authenticated principal on the message.
@Override
public Message<?> preSend(Message<?> message, MessageChannel channel) {
StompHeaderAccessor acc = StompHeaderAccessor.wrap(message);
if (StompCommand.CONNECT.equals(acc.getCommand())) {
String token = acc.getFirstNativeHeader('Authorization');
Authentication user = tokenService.validate(token);
acc.setUser(user);
}
return message;
}Authorizing Destinations
Spring provides AbstractSecurityWebSocketMessageBrokerConfigurer to define which roles may access which destinations, similar to HTTP security rules.
@Override
protected void configureInbound(MessageSecurityMetadataSourceRegistry messages) {
messages
.simpDestMatchers('/app/admin/**').hasRole('ADMIN')
.simpSubscribeDestMatchers('/topic/public').permitAll()
.anyMessage().authenticated();
}Per-User Destinations
The /user/** prefix routes messages to a single user's private queue. Spring resolves these against the authenticated principal, so users only receive their own messages.
// Server side: send to a specific user
messagingTemplate.convertAndSendToUser(
username, '/queue/notifications', payload);CSRF Considerations
The WebSocket handshake is an HTTP request and can be subject to CSRF. Validate origins and, where applicable, require a CSRF token so attackers cannot open connections from malicious pages.
Restricting Origins
Always lock down allowed origins for the STOMP endpoint. An open origin policy lets any website connect on behalf of a logged-in user.
@Override
public void registerStompEndpoints(StompEndpointRegistry registry) {
registry.addEndpoint('/ws')
.setAllowedOrigins('https://app.example.com')
.withSockJS();
}Validating Message Payloads
Authentication is not enough; validate the content of every message. Reject oversized payloads, unexpected fields, and malformed data to prevent injection and resource exhaustion.
- Enforce size limits
- Validate against a schema
- Reject unknown destinations
Logging Security Events
Log failed connections, denied subscriptions, and authorization failures. These events feed monitoring and help detect abuse or probing of your messaging layer.
Defense in Depth
Combine handshake auth, destination authorization, origin restriction, and payload validation. No single control is sufficient; layered controls keep your real-time messaging secure even if one fails.
Quick Check
Test your understanding of STOMP security.
Recap
You learned to secure STOMP at two layers: authenticate the handshake (session or token), then authorize destinations with Spring Security rules. Per-user destinations, origin restrictions, payload validation, and event logging together provide defense in depth for real-time messaging.
Häufig gestellte Fragen
Ist die Lektion „STOMP-Endpunkte mit Spring Security absichern“ kostenlos?
Ja — der vollständige Text von „STOMP-Endpunkte mit Spring Security absichern“ ist hier im Web kostenlos zu lesen. Um sie interaktiv zu üben (integrierter Code-Editor und 24/7 KI-Tutor) und den Rest des WebSockets & Real-Time Systems with Spring-Kurses freizuschalten, upgrade auf CoddyKit PRO. Der WebSockets & Real-Time Systems with Spring-Kurs umfasst insgesamt 4 Lektionen.
Was lerne ich in „STOMP-Endpunkte mit Spring Security absichern“?
Lernen Sie, STOMP-Nachrichten in Spring zu authentifizieren und zu autorisieren und dabei Handshake, Ziele und benutzerspezifische Nachrichten vor unbefugtem Zugriff zu schützen. Du übst WebSockets & Real-Time Systems with Spring mit praktischem Code, den du direkt im Browser ausführst, und ein 24/7 KI-Tutor beantwortet deine Fragen während du die Lektion bearbeitest.
Brauche ich Erfahrung, um WebSockets & Real-Time Systems with Spring zu starten?
Keine Vorkenntnisse erforderlich. WebSockets & Real-Time Systems with Spring auf CoddyKit ist für Anfänger bis fortgeschrittene Lernende strukturiert, sodass du hier starten oder von Anfang an beginnen und in deinem eigenen Tempo voranschreiten kannst. Dies ist Lektion 4 von 4.
Wie lange dauert die Lektion „STOMP-Endpunkte mit Spring Security absichern“?
Die meisten CoddyKit-Lektionen dauern etwa 5–10 Minuten. Jede ist kompakt und interaktiv, sodass du stetig Fortschritte machst und genau dort weitermachst, wo du aufgehört hast – im Web und in der App.
Kann ich in dieser WebSockets & Real-Time Systems with Spring-Lektion Code schreiben und ausführen?
Ja. Jede WebSockets & Real-Time Systems with Spring-Lektion enthält einen integrierten Code-Editor, sodass du echten Code direkt in deinem Browser schreibst und ausführst und sofort KI-Feedback erhältst — ohne lokale Einrichtung erforderlich.
Alle Lektionen in diesem Kurs
- Einführung in das STOMP-Protokoll
- STOMP mit Spring konfigurieren
- STOMP-Nachrichten senden und empfangen
- STOMP-Endpunkte mit Spring Security absichern