spring security配置详解

最新推荐文章于 2024-08-02 23:54:15 发布
最新推荐文章于 2024-08-02 23:54:15 发布
阅读量9.1k 收藏 4
点赞数
分类专栏： Spring Security 文章标签： spring security bean authentication class filter
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/chenyongsuda/article/details/5560486
版权

最近在项目中用到了Spring Security 2

为了实现自己的一些逻辑，所以粗略的读了一次他的代码，和文档。

文档中介绍了Spring Security 的大体框架和原理。

但是对于如何扩展Spring Security，使它更适合自己的项目并没有详细的介绍，这点比较遗憾。

所以硬着头皮，大致过了一次他的代码。

 

以下是我扩展的需求：

1、用户登录是判断用户登录错误次数是否超过指定次数，如三次，若超过则锁定用户

2、登录成功更新用户的信息，如最后登录时间，登录IP等，并保存到数据库。

3、登录失败则增加用户登录失败的次数。

 

对于上面的这些需求，读了源代码之后，你会发现Spring Security的框架十分灵活。

代码也很清晰。

 

首先，用户登录时，经过了一系列的过滤器，他的过滤器使用Spring来管理的。

其中一个名为AuthenticationProcessFilter的过滤器，专门为网页验证提供。

跟了一下这个过滤器，发现他继承的抽象类AbstractProcessingFilter中有几个可以扩展的方法：

Java代码 复制代码
  1.  protected void onPreAuthentication(HttpServletRequest request,HttpServletResponse response) throws AuthenticationException, IOException {   
  2.  }   
  3.   
  4.  protected void onSuccessfulAuthentication(HttpServletRequest request,HttpServletResponse response,Authentication authResult) throws IOException {   
  5. }   
  6.   
  7.  protected void onUnsuccessfulAuthentication(HttpServletRequest request,HttpServletResponse response,   
  8.         AuthenticationException failed) throws IOException {   
  9. }  
    protected void onPreAuthentication(HttpServletRequest request,HttpServletResponse response) throws AuthenticationException, IOException {
    }

    protected void onSuccessfulAuthentication(HttpServletRequest request,HttpServletResponse response,Authentication authResult) throws IOException {
   }

    protected void onUnsuccessfulAuthentication(HttpServletRequest request,HttpServletResponse response,
           AuthenticationException failed) throws IOException {
   }

 

看方法名大家应该能想到他的用处，就是在验证前，验证成功后，验证失败后，提供扩展的逻辑操作。

所以我们可以通过继承AuthenticationProcessFilter并重写这几个方法来增加自己的逻辑。

 

重新实现了过滤器之后要重新设置Spring Security 2的过滤器链，而且原来的auto-config也不能使用。否则将无效

配置如下：

Xml代码 复制代码
  1. <http entry-point-ref="authenticationEntryPoint">  
  2.   
  3.   
  4.     <intercept-url pattern="/js/*" filters="none" />  
  5.   
  6.   
  7.     <intercept-url pattern="/styles/*" filters="none" />  
  8.   
  9.   
  10.     <intercept-url pattern="/images/*" filters="none" />  
  11.   
  12.   
  13.     <intercept-url pattern="/login" filters="none" />  
  14.   
  15.   
  16.     <intercept-url pattern="/reg" filters="none" />  
  17.   
  18.   
  19.     <intercept-url pattern="/" filters="none" />  
  20.   
  21.   
  22.     <intercept-url pattern="/registerMember" filters="none" />  
  23.   
  24.   
  25.     <intercept-url pattern="/index.jsp" access="ROLE_USER" />    
  26.   
  27.   
  28.     <intercept-url pattern="/member/*" access="ROLE_USER" />  
  29.   
  30.   
  31.     <!-- <form-login login-processing-url="/checkMember" login-page="/login" authentication-failure-url="/login?error=true" default-target-url="/" /> -->  
  32.   
  33.   
  34.     <anonymous />  
  35.   
  36.   
  37.     <logout logout-url="/logout" logout-success-url="/" />  
  38.   
  39.   
  40.     <remember-me key="e37f4b31-0c45-11dd-bd0b-0800200c9a66" />  
  41.   
  42.   
  43. </http>  
  44.   
  45.   
  46.   
  47.   
  48.   
  49.       <authentication-manager alias="authenticationManager"/>  
  50.   
  51.   
  52.   
  53.   
  54.   
  55. <beans:bean class="com.mysport.security.filter.EnhanceAuthenticationProcessFilter">  
  56.   
  57.   
  58.     <custom-filter position="AUTHENTICATION_PROCESSING_FILTER" />  
  59.   
  60.   
  61.     <beans:property name="authenticationManager" ref="authenticationManager" />  
  62.   
  63.   
  64.     <beans:property name="authenticationFailureUrl" value="/login?error=true" />  
  65.   
  66.   
  67.     <beans:property name="defaultTargetUrl" value="/" />  
  68.   
  69.   
  70.     <beans:property name="filterProcessesUrl" value="/checkMember" />  
  71.   
  72.   
  73.     <beans:property name="memberService" ref="memberService" />  
  74.   
  75.   
  76. </beans:bean>  
  77.   
  78.   
  79.   
  80.   
  81.   
  82. <beans:bean id="authenticationEntryPoint" class="org.springframework.security.ui.   
  83.   
  84.   
  85.                                                                         webapp.AuthenticationProcessingFilterEntryPoint">    
  86.   
  87.   
  88.     <beans:property name="loginFormUrl" value="/login" />    
  89.   
  90.   
  91.    </beans:bean>   

 

如果使用Remember Me则要以类似的方式实现RememberMeProcessingFilter

1、要去掉http中的

<remember-me key="yourkey" />

2、实现rememberMeService

Xml代码 复制代码
  1. <beans:bean id="rememberMeServices" class="org.springframework.security.ui.rememberme.TokenBasedRememberMeServices" >  
  2.     <beans:property name="key" value="yourkey" />  
  3.     <beans:property name="userDetailsService" ref="securityManager" />  
  4. </beans:bean>  

 3、实现自己的RememberMeProcessingFilter

Xml代码 复制代码
  1. <beans:bean class="com.mysport.security.filter.EnhanceRememberMeProcessingFilter">  
  2.     <custom-filter position="REMEMBER_ME_FILTER" />  
  3.     <beans:property name="authenticationManager" ref="authenticationManager" />  
  4.     <beans:property name="rememberMeServices" ref="rememberMeServices" />  
  5.     <beans:property name="memberService" ref="memberService" />  
  6. </beans:bean>  

 4、最重要的，重新将rememberMeAuthenticationProvider添加到providers中，主要是设置对应的key，否则cookie在解密时无法正确解出内容

Xml代码 复制代码
  1. <beans:bean id="rememberMeAuthenticationProvider" class="org.springframework.security.providers.rememberme.RememberMeAuthenticationProvider">  
  2.     <custom-authentication-provider />  
  3.     <beans:property name="key" value="yourkey" />  
  4. </beans:bean>  
圣诞老人123
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Spring Security安全配置
coolshyman的博客
07-25 2005
而使用持久化Token的方式相对安全，用户每登录一次都会生成新的Token和Cookie，但也给盗用者留下了在用户进行第2次登录前进行恶意操作的机会，只有在用户进行第2次登录并更新Token和Cookie时，才会避免这种问题。持久化Token的方式与简单加密Token的方式在实现Remember -Me功能上大体相同，都是在用户选择[记住我]并成功登录后，将生成的Token存入Cookie中并发送到客户端浏览器，在下次用户通过同一客户端访问系统时，系统将直接从客户端Cookie中读取Token进行认证。
springsecurity使用配置详解
03-24
在提供的压缩包`springsecurity配置demo`中，你将找到示例代码和详细说明，这将帮助你更好地理解和实践上述概念。通过学习和实践这些示例，你将能够为自己的Spring应用程序构建强大的安全防护。
Spring Security配置
qq_46005551的博客
03-27 2277
2.LoginSuccessHandler（登录成功处理器）六、创建handler（处理器）与config（配置）层。1.LoginFailHandler（登录失败处理器）1.SecurityApplication（主方法）3.NoLoginHandler（未登录处理器）4.NoAuthHandler（无权限处理器）1.CorsConfig（处理跨域申请）四、配置.xml文件（维护SQL语句）七、配置handler（处理器）层。t_user（用户信息表）t_anth （角色表）八、配置congfig层。
spring-security安全框架（超精细版附带流程讲解图）
边走、边悟、迟早变好
06-30 3293
用户认证指的是：验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认证过程。 通俗点说就是系统认为用户是否能登录。 用户授权指的是验证某个用户是否有权限执行某个操作。在一个系统中，不同用户所具有的权限是不同的。比如对一个文件来说，有的用户只能进行读取，而有的用户可以进行修改。一般来说，系统会为不同的用户分配不同的角色，而每个角色则对应一系列的权限。 通俗点讲就是系统判断用户是否有权限去做某些事情。
Spring security配置
行云的博客
07-07 2239
SpringSecurity认证一、HttpBasic模式登录认证 SpringSecurity 自带一种基础认证模式实现方式：创建WebSecurityConfig配置类/** * Spring Securtiy配置类 */@Configuration //配置类public class WebSecurityConfig extends WebSecurit...
springsecurity 配置
lanlan112233的博客
04-13 1294
是一个能够为基于 Spring 的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在 Spring 应用上下文中配置的 Bean，充分利用了 Spring IoC（Inversion of Control 控制反转），DI（Dependency Injection 依赖注入）和 AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。对身份验证和授权的全面且可扩展的支持防御会话固定、点击劫持，跨站请求伪造等攻击。
SpringSecurity的配置
qq_45733154的博客
10-19 8227
SpringSecurity配置与使用
详解Spring Security 简单配置
08-30
Spring Security 简单配置详解 Spring Security 是一个广泛使用的基于 Java 的安全框架，提供了身份验证、授权、加密等安全功能。在本篇文章中，我们将详细介绍 Spring Security 的简单配置，以便大家更好地理解和...
详解spring security 配置多个AuthenticationProvider
08-30
Spring Security 配置多个 AuthenticationProvider 详解 Spring Security 是一个功能强大且灵活的安全框架，提供了多种身份验证机制和访问控制机制。在实际开发中，我们经常需要配置多个身份验证提供程序...
Spring Security基本配置方法解析
08-25
在Security配置中，我们需要使用@Configuration和@EnableWebSecurity注解来启用Web安全功能，然后我们可以在SecurityConfig类中配置身份验证和授权规则。 Spring Security提供了多种身份验证方式，例如...
详解springSecurity之java配置篇
08-18
Spring Security 之 Java 配置篇 Spring Security 是一个功能强大且灵活的安全框架，用于保护基于 Java 的 Web 应用程序。Spring Security 的 Java 配置是指使用 Java 代码来配置 Spring Security，以便更好地控制...
【Spring Boot】配置 Spring Security
最新发布
书山有路，学海无涯。记录成长，追逐梦想
08-02 1094
Spring Security 提供了声明式的安全访问控制解决方案（仅支持基于 Spring 的应用程序），对访问权限进行认证和授权，它基于 Spring AOP 和 Servlet 过滤器，提供了安全性方面的全面解决方案。
Spring安全权限管理（Spring Security的配置使用）
热门推荐
在交流中成长
03-12 4万+
1.Spring Security简要介绍Spring Security以前叫做acegi，是后来才成为Spring的一个子项目，也是目前最为流行的一个安全权限管理框架，它与Spring紧密结合在一起。Spring Security关注的重点是在企业应用安全层为您提供服务，你将发现业务问题领域存在着各式各样的需求。银行系统跟电子商务应用就有很大的不同。电子商务系统与企业销售自动化工具又有很大不同。
spring-security的简单配置
qq_43352316的博客
07-27 668
简单配置
Spring Security基本配置（登录，注销，权限，记住我，注解）
dyk
07-20 3020
Spring Security简介SpringSecurity 特点：ShiroSpringSecurity 入门案例controller访问 简介 Spring 是非常流行和成功的 Java 应用开发框架，Spring Security 正是 Spring 家族中的成员。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。 于安全方面的两个主要区域是“认证”和“授权”（或者访问控制），一般来说，Web 应用的安全性包括用户认证（Authenticatio
Spring Security简单配置与使用
qq_45957210的博客
04-25 235
配置 要使用Security就要继承WebSecurityConfigurerAdapter并重写授权规则和认证规则 import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import o
Spring Security配置详解：Web安全与自动化装配
文章还提到，虽然默认情况下Spring Security会提供一定的安全性，但可能需要根据具体需求进一步自定义配置，这通常通过重载`WebSecurityConfigurerAdapter`的`configure()`方法来实现，这些方法允许开发者根据传入...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值