SpringSecurity认证

一、 Spring Security简介

1 概括

Spring Security是一个高度自定义的安全框架。利用Spring IoC/DI和AOP功能，为系统提供了声明式安全访问控制功能，减少了为系统安全而编写大量重复代码的工作。
使用Spring Secruity的原因有很多，但大部分都是发现了javaEE的Servlet规范或EJB规范中的安全功能缺乏典型企业应用场景。同时认识到他们在WAR或EAR级别无法移植。因此如果你更换服务器环境，还有大量工作去重新配置你的应用程序。使用Spring Security 解决了这些问题，也为你提供许多其他有用的、可定制的安全功能。
正如你可能知道的两个应用程序的两个主要区域是“认证”和“授权”（或者访问控制）。这两点也是Spring Security重要核心功能。“认证”，是建立一个他声明的主体的过程（一个“主体”一般是指用户，设备或一些可以在你的应用程序中执行动作的其他系统），通俗点说就是系统认为用户是否能登录。“授权”指确定一个主体是否允许在你的应用程序执行一个动作的过程。通俗点讲就是系统判断用户是否有权限去做某些事情。

2 历史

Spring Security 以“The Acegi Secutity System for Spring” 的名字始于2003年年底。其前身为acegi项目。起因是Spring开发者邮件列表中一个问题，有人提问是否考虑提供一个基于Spring的安全实现。限制于时间问题，开发出了一个简单的安全实现，但是并没有深入研究。几周后，Spring社区中其他成员同样询问了安全问题，代码提供给了这些人。2004年1月份已经有20人左右使用这个项目。随着更多人的加入，在2004年3月左右在sourceforge中建立了一个项目。在最开始并没有认证模块，所有的认证功能都是依赖容器完成的，而acegi则注重授权。但是随着更多人的使用，基于容器的认证就显现出了不足。acegi中也加入了认证功能。大约1年后acegi成为Spring子项目。
在2006年5月发布了acegi 1.0.0版本。2007年底acegi更名为Spring Security。

二、 自定义登录逻辑（数据库访问方式）

1 新建数据库表结构

create table user(id bigint primary key auto_increment,username varchar(20) unique not null,password varchar(20)
);insert into user values(1,'张三','zs');
insert into user values(2,'李四','ls');create table role(id bigint primary key auto_increment,name varchar(20)
);insert into role values(1,'管理员');
insert into role values(2,'普通用户');create table role_user(uid bigint,rid bigint
);insert into role_user values(1,1);
insert into role_user values(2,2);create table menu(id bigint primary key auto_increment,name varchar(20),url varchar(100),parentid bigint,permission varchar(20));insert into menu values(1,'系统管理','',0,'menu:sys');
insert into menu values(2,'用户管理','',0,'menu:user');create table role_menu(mid bigint,rid bigint
);insert into role_menu values(1,1);
insert into role_menu values(2,1);
insert into role_menu values(2,2);

2 在项目中添加依赖

添加MyBatis相关依赖

<dependency><groupId>org.mybatis.spring.boot</groupId><artifactId>mybatis-spring-boot-starter</artifactId><version>2.1.1</version>
</dependency>
<dependency><groupId>mysql</groupId><artifactId>mysql-connector-java</artifactId><version>5.1.48</version>
</dependency>
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId>
</dependency>

3 编写配置文件

在配置文件中添加Mybatis配置

spring:datasource:username: rootpassword: 1234driver-class-name: com.mysql.jdbc.Driverurl: jdbc:mysql://localhost:3306/security# 加载mapper文件路径
mybatis:mapper-locations: classpath:mybatis/*.xml
# 别名
mybatis: type-aliases-package: com.bjsxt.springscuritydemo.pojo

4 新建Mapper

新建com.bjsxt.springscuritydemo.mapper.UserMapper

//告诉Spring boot当前类为Mybatis的接口类
@Mapper
@Component
public interface UserMapper {User selectByUsername(String username);
}

5 修改自定义service逻辑

修改com.bjsxt.springscuritydemo.service.impl.MyUserDetailsServiceImpl

@Service
public class MyUserDetailsServiceImpl implements UserDetailsService {@Autowiredprivate UserMapper userMapper;@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {User user = userMapper.selectByUsername(username);if(user==null){throw new UsernameNotFoundException("用户名不存在");}return new org.springframework.security.core.userdetails.User(username,user.getPassword(),AuthorityUtils.commaSeparatedStringToAuthorityList("随意给的权限"));}
}

三、 自定义登录页面

虽然Spring Security给我们提供了登录页面，但是对于实际项目中，大多喜欢使用自己的登录页面。所以Spring Security中不仅仅提供了登录页面，还支持用户自定义登录页面。实现过程也比较简单，只需要修改配置类即可。

1 编写登录页面

编写登录页面，登录页面中<form>的action不编写对应控制器也可以。

<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8"><title>内容</title>
</head>
<body>
<form action="/login" method="post"><input type="text" name="username"/><input type="password" name="password"/><input type="submit" value="提交"/>
</form></body>
</html>

2 修改配置类

修改配置类中主要是设置哪个页面是登录页面。配置类需要继承WebSecurityConfigurerAdapter,并重写configure方法。

successForwardUrl()登录成功后跳转地址
loginPage() 登录页面
loginProcessingUrl 登录页面表单提交地址，此地址可以不真实存在。
antMatchers():匹配内容
permitAll():允许

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {@Overrideprotected void configure(HttpSecurity httpSecurity) throws Exception {// 表单认证httpSecurity.formLogin().loginProcessingUrl("/login")   //登录提交地址.successForwardUrl("/toMain")   //此处是post请求.loginPage("/login.html");    //登录页面// url 拦截httpSecurity.authorizeRequests().antMatchers("/login.html").permitAll() //login.html不需要被认证.anyRequest().authenticated();//所有的请求都必须被认证。必须登录后才能访问。//关闭csrf防护httpSecurity.csrf().disable();}@Beanpublic PasswordEncoder getPe(){return new BCryptPasswordEncoder();}
}

3 编写控制器

编写控制器，当用户登录成功后跳转toMain控制器。编写完成控制器后编写main.html。页面中随意写上一句话表示main.html页面内容即可。而之前的/login控制器方法是不执行的，所以可以删除了。

@Controller
public class LoginController {//    该方法不会被执行
//    @RequestMapping("/login")
//    public String login(){
//        System.out.println("执行了login方法");
//        return "redirect:main.html";
//    }@PostMapping("/toMain")public String toMain(){return "redirect:/main.html";}
}

四、 认证过程其他常用配置

1 失败跳转

表单处理中成功会跳转到一个地址，失败也可以跳转到一个地址中。

1.1 编写页面
在src/main/resources/static下新建fail.html并编写如下内容

<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8"><title>Title</title>
</head>
<body>操作失败，请重新登录. <a href="/login.html">跳转</a>
</body>
</html>

1.2 修改表单配置

在配置方法中表单认证部分添加failureForwardUrl()方法，表示登录失败跳转的url。此处依然是POST请求，所以跳转到可以接收POST请求的控制器/fail中。

// 表单认证
http.formLogin().loginProcessingUrl("/login")   //当发现/login时认为是登录，需要执行UserDetailsServiceImpl.successForwardUrl("/toMain")   //此处是post请求.failureForwardUrl("/fail")     //登录失败跳转地址.loginPage("/login.html");

1.3 添加控制器方法

在控制器类中添加控制器方法，方法映射路径/fail。此处要注意：由于是POST请求访问/fail。所以如果返回值直接转发到fail.html中，及时有效果，控制台也会报警告，提示fail.html不支持POST访问方式。

@PostMapping("/fail")
public String fail(){return "redirect:/fail.html";
}

1.4 设置fail.html不需要认证
认证失败跳转到fail.html页面中，所以必须配置fail.html不需要被认证。需要修改配置类中内容

// url 拦截
http.authorizeRequests().antMatchers("/login.html").permitAll() //login.html不需要被认证.antMatchers("/fail.html").permitAll()  //fail.html不需要被认证.anyRequest().authenticated();//所有的请求都必须被认证。必须登录后才能访问。

2 设置请求账户和密码的参数名

2.1 源码简介

当进行登录时会执行UsernamePasswordAuthenticationFilter过滤器。
usernamePasrameter:账户参数名
passwordParameter:密码参数名
postOnly=true:默认情况下只允许POST请求。

2.2 修改配置

// 表单认证
http.formLogin().loginProcessingUrl("/login")   //当发现/login时认为是登录，需要执行UserDetailsServiceImpl.successForwardUrl("/toMain")   //此处是post请求.failureForwardUrl("/fail")     //登录失败跳转地址.loginPage("/login.html").usernameParameter("myusername").passwordParameter("mypassword");

2.3 修改页面

修改login.html中账户参数名和密码参数名

<form action = "/login" method="post">用户名：<input type="text" name="myusername"/><br/>密码:<input type="password" name="mypassword"/><br/><input type="submit" value="登录"/>
</form>

3 自定义登录成功处理器

3.1 源码分析

使用successForwardUrl()时表示成功后转发请求到地址。内部是通过successHandler（）方法进行控制成功后交给哪个类进行处理

ForwardAuthenticationSuccessHandler内部就是最简单的请求转发。由于是请求转发，当遇到需要跳转到站外或在前后端分离的项目中就无法使用了。

当需要控制登录成功后去做一些事情时，可以进行自定义认证成功控制器。

3.2 代码实现

3.2.1 自定义类

新建类com.bjsxt.handler.MyAuthenticationSuccessHandler编写如下：

public class MyAuthenticationSuccessHandler implements AuthenticationSuccessHandler {@Overridepublic void onAuthenticationSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {//Principal 主体，存放了登录用户的信息User user = (User)authentication.getPrincipal();System.out.println(user.getUsername());System.out.println(user.getPassword());//密码输出为nullSystem.out.println(user.getAuthorities());//重定向到百度。这只是一个示例，具体需要看项目业务需求httpServletResponse.sendRedirect("http://www.baidu.com");}
}

3.2.2 修改配置项

使用successHandler()方法设置成功后交给哪个对象进行处理

// 表单认证
http.formLogin().loginProcessingUrl("/login")   //当发现/login时认为是登录，需要执行UserDetailsServiceImpl.successHandler(new MyAuthenticationSuccessHandler())//.successForwardUrl("/toMain")   //此处是post请求.failureForwardUrl("/fail")     //登录失败跳转地址.loginPage("/login.html");

4 自定义登录失败处理器

4.1 源码分析

failureForwardUrl()内部调用的是failureHandler()方法

ForwardAuthenticationFailureHandler中也是一个请求转发，并在request作用域中设置SPRING_SECURITY_LAST_EXCEPTION的key，内容为异常对象。

4.2 代码实现

4.2.1 新建控制器

新建com.bjsxt.handler.MyForwardAuthenticationFailureHandler实现AuthenticationFailureHandler。在方法中添加重定向语句

public class MyForwardAuthenticationFailureHandler implements AuthenticationFailureHandler {@Overridepublic void onAuthenticationFailure(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {httpServletResponse.sendRedirect("/fail.html");}
}

4.2.2 修改配置类
修改配置类中表单登录部分。设置失败时交给失败处理器进行操作。failureForwardUrl和failureHandler不可共存。

        // 表单认证http.formLogin().loginProcessingUrl("/login")   //当发现/login时认为是登录，需要执行UserDetailsServiceImpl.successHandler(new MyAuthenticationSuccessHandler())//.successForwardUrl("/toMain")   //此处是post请求.failureHandler(new MyForwardAuthenticationFailureHandler())
//                .failureForwardUrl("/fail")     //登录失败跳转地址.loginPage("/login.html");

五、 完整认证流程（包含自定义页面和自定义登录逻辑）

  1. 用户在浏览器中随意输入一个URL
  2. Spring Security 会判断当前是否已经被认证（登录）如果已经认证，正常访问URL。如果没有被认证跳转到loginPage()对应的URL中，显示登录页面。
  3. 用户输入用户名和密码点击登录按钮后，发送登录url
  4. 如果url和loginProcessingUrl()一样才执行登录流程。否则需要重新认证。
  5. 执行登录流程时首先被UsernamePasswordAuthenticationFilter进行过滤，取出用户名和密码，放入到容器中。根据usernameParameter和passwordParameter进行取用户名和密码，如果没有配置这两个方法，默认为请求参数名username和password
  6. 执行自定义登录逻辑UserDetailsService的实现类。判断用户名是否存在和数据库中密码是否和客户端传递过来的密码匹配。
  7. 如果登录成功，跳转到successForwardUrl（转发）/successHandler（自己控制跳转方式）配置的URL
  8. 如果登录失败，跳转到failureForwardUrl/failureHandler

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/324495.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【2018.4.7】模拟赛之一-ssl2382 K好数【数位dp】

【2018.4.7】模拟赛之一-ssl2382 K好数【数位dp】

正题 大意 如果一个数每一位都小于k那么这个数是好数。给出n和k&#xff0c;求1-n里有多少个好数。 解题思路1 将起改为一个k1进制的数&#xff0c;那么每次加1后这个数都是好数。然后判断一下是否大于n&#xff08;十进制的情况下&#xff09; 解题思路2 数位dp&#xff0…
阅读更多...
基于.NET CORE微服务框架 -谈谈surging的服务容错降级

基于.NET CORE微服务框架 -谈谈surging的服务容错降级

一、前言 对于不久开源的surging受到不少.net同学的青睐&#xff0c;也受到.net core学习小组的关注&#xff0c;邀请加入.NET China Foundation 以方便国内.net core开源项目的推广&#xff0c;我果断接受邀请加入了队伍进行互相交流学习&#xff0c;最近也更新了surging新的…
阅读更多...
java中部的分页实现(二)

java中部的分页实现(二)

大家好&#xff0c;欢迎来到雄雄的小课堂&#xff0c;昨天分享了关于分页查询的理论知识&#xff0c;今天我们就来结合代码和案例实际的应用一下&#xff0c;方便大家理解。前言&#xff1a;我们都知道&#xff0c;实现分页需要三个步骤。第一&#xff0c;确定页大小&#xff0…
阅读更多...
artTemplate的空白输出坑

artTemplate的空白输出坑

一、问题现象 <script type"text/html" id"man_template">{{each list as v i}}<tr><td>{{v.name}}</td><td>{{v.height}}</td><td>{{v.age}}</td></tr>{{/each}} </script> <script>…
阅读更多...
SpringSecurity授权（访问控制）

SpringSecurity授权（访问控制）

一、 访问控制url匹配 在前面讲解了认证中所有常用配置&#xff0c;主要是对httpSecurity.formLogin()进行操作。而在配置类中httphttpSecurity.authorizeRequests()主要是对url进行控制&#xff0c;也就是我们所说的授权&#xff08;访问控制&#xff09;。httpSecurity.autho…
阅读更多...
剥析surging的架构思想

剥析surging的架构思想

1、前言 前面第一篇阐述了采用基于.NET CORE微服务架构&#xff0c;应用surging服务端与客户端之间进行通信的简单示例以及对于surging服务化框架简单介绍。在这篇文章中&#xff0c;我们将剥析surging的架构思想。 surging源码下载 2、通信机制 2.1 简介 在单体应用中&am…
阅读更多...
【2018.4.7】模拟赛之二-ssl2383 睡眠【水题】

【2018.4.7】模拟赛之二-ssl2383 睡眠【水题】

正题 大意 输入两个时间点表示起床的时间和睡了多久求开始睡觉的时间 解题思路 直接计算&#xff0c;水题不解释 代码 #include<cstdio> using namespace std; int h1,m1,h2,m2; int main() { scanf("%d:%d %d:%d",&h1,&m1,&h2,&m2);h1-h…
阅读更多...
javaweb实现分页（二）

javaweb实现分页（二）

前言&#xff1a;我们都知道&#xff0c;实现分页需要三个步骤。第一&#xff0c;确定页大小&#xff08;每页显示的数据量&#xff09;。第二&#xff0c;计算显示的总页数。第三&#xff0c;写分页的sql语句。这三步已经在昨天的推文中详细说明&#xff0c;需要的可以点击这里…
阅读更多...
滴滴出行基于RocketMQ构建企业级消息队列服务的实践

滴滴出行基于RocketMQ构建企业级消息队列服务的实践

转载自 滴滴出行基于RocketMQ构建企业级消息队列服务的实践 本文整理自滴滴出行消息队列负责人 江海挺 在Apache RocketMQ开发者沙龙北京站的分享。通过本文&#xff0c;您将了解到滴滴出行&#xff1a; 1. 在消息队列技术选型方面的思考&#xff1b; 2. 为什么选择 RocketMQ…
阅读更多...
[信息安全] 1.密码工具箱

[信息安全] 1.密码工具箱

0. 何谓安全&#xff1f; 对于信息安全性的重要性&#xff0c;我想大家都不会否认。那么具体来说应该具有哪些特性才能称之为安全呢&#xff1f;举个简单的例子&#xff1a;我给你发送一条消息“借给我100元”&#xff0c;当你收到这条消息并且处理后你的账户里面会少出来100块…
阅读更多...
【2018.4.7】模拟赛之三-ssl2384 字符串【字符串】

【2018.4.7】模拟赛之三-ssl2384 字符串【字符串】

正题 大意 给一个字符串&#xff0c;求有多少个区间中含有”bear” 解题思路 直接寻找bear&#xff0c;然后计算有该bear的区间数&#xff0c;注意去重。 比如”bearbear”那么[1-8]这个区间会重复查找到&#xff0c;所以我们就只需要找到上一个bear的位置就好了 代码 #inc…
阅读更多...
深入理解TCP/IP协议-TCP建立与终止连接

深入理解TCP/IP协议-TCP建立与终止连接

转载自 深入理解TCP/IP协议-TCP建立与终止连接 一、引言 TCP 是一个面向连接的协议。无论哪一方向另一方发送数据之前&#xff0c;都必须先在双方之间建立一条连接。连接创建与终止的状态变化图如下&#xff1a; 二、三次握手建立连接 过程如下&#xff1a; 客户端发送一个 SY…
阅读更多...
在Docker中运行asp.net core 跨平台应用程序

在Docker中运行asp.net core 跨平台应用程序

概述 Docker已经热了有一两年了&#xff0c;而且我相信这不是一个昙花一现的技术&#xff0c;而是一个将深远影响我们日后开发和部署、运营应用系统的一种创新&#xff08;很多人将其作为devops的一种非常重要的基石&#xff09;。学习docker的最好方式&#xff0c;莫过于它的…
阅读更多...
java中的Queue队列的用法

java中的Queue队列的用法

大家好&#xff0c;欢迎来到雄雄的小课堂&#xff0c;今天给大家分享的是“java中的Queue队列的用法” 前言&#xff1a;好多人对Queue不是很熟悉&#xff0c;毕竟平时也不怎么用&#xff0c;遇到集合要么List要么map这些常用的&#xff0c;殊不知&#xff0c;java中还有个Que…
阅读更多...
SpringCloud Netflix Eureka

SpringCloud Netflix Eureka

文章目录一、 Eureka简介Eureka组件二、 Eureka和Zookeeper 对比1 什么是CAP定理2 基于CAP定理比对Eureka和Zookeeper三、 搭建Eureka注册中心1 POM文件2 配置文件application.yml3 启动类4 访问Eureka Server WEB服务管理平台四、 Eureka 服务管理平台介绍1 Eureka Server服务…
阅读更多...
使用枚举定义常量更好点儿

使用枚举定义常量更好点儿

大家好&#xff0c;欢迎来到雄雄的小课堂&#xff0c;昨天给大家分享的是“java中的Queue队列的用法示例”&#xff0c;今天&#xff0c;分享的主题是“java中&#xff0c;推荐使用枚举定义常量”。 前言&#xff1a;常量&#xff0c;相信大家多不会陌生&#xff0c;常量值一般…
阅读更多...
在 Java 中初始化 List 的五种方法

在 Java 中初始化 List 的五种方法

转载自 在 Java 中初始化 List 的五种方法 Java 中经常需要使用到 List&#xff0c;下面简单介绍几种常见的初始化方式。 1.构造 List 后使用 List.add 初始化 List<String> stringList new LinkedList<>(); stringList.add("a"); stringList.add(&…
阅读更多...
【2018.4.7】模拟赛之四-ssl2385 猜数【水题】

【2018.4.7】模拟赛之四-ssl2385 猜数【水题】

正题 大意 给出一些询问和答案&#xff0c;询问内容包括: 1. 是否大于一个数 2. 是否小于一个数 3. 是否大于等于一个数 4. 是否小于等于一个数 这是一个-10000到10000的数 求这个数的最小值 代码 #include<cstdio> #include<iostream> using namespace st…
阅读更多...
SpringCloud Netflix Ribbon

SpringCloud Netflix Ribbon

文章目录一、 Ribbon简介二、 使用Ribbon开发微服务1 创建springcloud工程 和 commons子模块2 开发服务提供者 - ribbonappservice3 开发服务消费者 - ribbonappclient三、 集中式与进程内负载均衡区别四、 Ribbon常见的负载均衡策略1 Ribbon中的常用负载均衡简介2 配置负载均衡…
阅读更多...
Entity Framework Core 生成跟踪列

Entity Framework Core 生成跟踪列

注意&#xff1a;我使用的是 Entity Framework Core 2.0 (2.0.0-preview2-final)。正式版发布时&#xff0c;功能可能存在变动。 当您设计数据库时&#xff0c;有时需要添加列以跟踪记录何时更改&#xff0c;以及谁进行了更改。例如&#xff0c;您添加以下列&#xff1a; Cre…
阅读更多...
最新文章

Copyright @ 2022~2023