爆破专栏丨Spring Security系列教程之基于自定义的认证提供器实现图形验证码_webauthenticationdetailssource

2401_84424937

于 2024-04-18 01:22:36 发布

阅读量662

点赞数 28

分类专栏： 2024年程序员学习文章标签： spring 数据库 web安全

本文链接：https://blog.csdn.net/2401_84424937/article/details/137895823

版权

2024年程序员学习专栏收录该内容

4 篇文章 0 订阅

订阅专栏

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip204888 （备注网络安全）

正文

认证提供器AuthenticationProvider

在第11章节中，壹哥给大家讲过Spring Security的认证授权实现流程，其中就给大家讲解过AuthenticationProvider的作用，接下来我们看一下AuthenticationProvider接口的类关系图：

从上图中可知，AuthenticationProvider是一个接口，该接口有一个直接的子类AbstractUserDetailsAuthenticationProvider，该类有2个抽象的方法：additionalAuthenticationChecks() 和 retrieveUser()，如下图：

我们可以通过编写一个子类继承Abstract User Details Authen tication Provider，复写这2个抽象方法，进行满足自己需求的扩展实现。Spring Security中的Dao Authen tication Provider子类就是通过复写这2个抽象方法，实现了基于数据库模型的认证授权。

我们今天会通过继承DaoAuthenticationProvider，来实现图形验证码的校验功能。

WebAuthenticationDetails类介绍

了解完上面的AuthenticationProvider类之后，我们还需要了解另一个类WebAuthenticationDetails。

们知道在Spring Security中有一个Username Password Authen tication Token类，封装了用户的principal、credentials信息，该类还从它的父类AbstractAuthenticationToken中继承了details信息。

其中这个details信息表示认证用户的额外信息，比如请求用户的remoteAddress和sessionId等信息，这两个信息都是在另一个WebAuthenticationDetails类中定义的，所以我们可以利用WebAuthenticationDetails来封装用户的额外信息。

了解完上面的这些必要的API，我们就可以实现今天的需求了。

二. 实现图形验证码

添加依赖包

我们还是和之前的案例一样，可以先创建一个新的module，创建过程略。

<dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

        <dependency>
            <groupId>org.mybatis.spring.boot</groupId>
            <artifactId>mybatis-spring-boot-starter</artifactId>
            <version>1.3.1</version>
        </dependency>

        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
            <scope>runtime</scope>
        </dependency>

        <dependency>
            <groupId>com.github.penggle</groupId>
            <artifactId>kaptcha</artifactId>
            <version>2.3.2</version>
        </dependency>

        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-test</artifactId>
            <scope>test</scope>
        </dependency>
    </dependencies>

在本案例中我们依然采用github上的开源验证码解决方案kaptcha，所以需要在原有项目的基础上添加kaptcha的依赖包。

创建Producer对象

跟上一个案例一样，创建CaptchaConfig配置类，在该类中创建一个Producer对象，对验证码对象进行必要的配置。

@Configuration
public class CaptchaConfig {

    @Bean
    public Producer captcha() {
        // 配置图形验证码的基本参数
        Properties properties = new Properties();
        // 图片宽度
        properties.setProperty("kaptcha.image.width", "150");
        // 图片长度
        properties.setProperty("kaptcha.image.height", "50");
        // 字符集
        properties.setProperty("kaptcha.textproducer.char.string", "0123456789");
        // 字符长度
        properties.setProperty("kaptcha.textproducer.char.length", "4");
        Config config = new Config(properties);
        // 使用默认的图形验证码实现，当然也可以自定义实现
        DefaultKaptcha defaultKaptcha = new DefaultKaptcha();
        defaultKaptcha.setConfig(config);
        return defaultKaptcha;
    }

}

创建生成验证码的接口

在上面创建了Producer对象后，接着创建一个生成验证码的接口，该接口中负责生成验证码图片，并将验证码存储到session中。

@Controller
public class CaptchaController {

    @Autowired
    private Producer captchaProducer;

    @GetMapping("/captcha.jpg")
    public void getCaptcha(HttpServletRequest request, HttpServletResponse response) throws IOException {
        // 设置内容类型
        response.setContentType("image/jpeg");
        // 创建验证码文本
        String capText = captchaProducer.createText();
        
        // 将验证码文本设置到session
        request.getSession().setAttribute("captcha", capText);
        
        // 创建验证码图片
        BufferedImage bi = captchaProducer.createImage(capText);
        // 获取响应输出流
        ServletOutputStream out = response.getOutputStream();
        // 将图片验证码数据写到响应输出流
        ImageIO.write(bi, "jpg", out);
        
        // 推送并关闭响应输出流
        try {
            out.flush();
        } finally {
            out.close();
        }
    }

}

自定义异常

接下来自定义一个运行时异常，用于处理验证码校验失败时抛出异常提示信息。

public class VerificationCodeException extends AuthenticationException {

    public VerificationCodeException() {
        super("图形验证码校验失败");
    }

}

自定义WebAuthenticationDetails

我在上面给大家介绍过WebAuthenticationDetails这个类，知道该类中可以封装用户的额外信息，所以在这里我们自定义一个WebAuthenticationDetails类，封装验证码信息，并把用户传递过来的验证码与session中保存的验证码进行对比。

/**
 * 添加额外的用户认证信息
 */  
public class MyWebAuthenticationDetails extends WebAuthenticationDetails {

    private String imageCode;

    private String savedImageCode;

    public String getImageCode() {
        return imageCode;
    }

    public String getSavedImageCode() {
        return savedImageCode;
    }

    /**
     * 补充用户提交的验证码和session保存的验证码
     */  
    public MyWebAuthenticationDetails(HttpServletRequest request) {
        super(request);
        this.imageCode = request.getParameter("captcha");
        //获取session对象
        HttpSession session = request.getSession();
        
        this.savedImageCode = (String) session.getAttribute("captcha");
        if (!StringUtils.isEmpty(this.savedImageCode)) {
            // 随手清除验证码，不管是失败还是成功，所以客户端应在登录失败时刷新验证码
            session.removeAttribute("captcha");
        }
    }

}

自定义AuthenticationDetailsSource

AuthenticationDetailsSource是一个接口，该接口带有一个buildDetails方法，该方法会在创建一个新的authentication的details对象时被调用，而且可以在这里传递给details对象一个request参数，如下图所示：

所以这里我们定义一个AuthenticationDetailsSource类，通过该类构建出上面定义的WebAuthenticationDetails对象，并且给WebAuthenticationDetails传递进去HttpServletRequest对象。

@Component
public class MyWebAuthenticationDetailsSource implements AuthenticationDetailsSource<HttpServletRequest,WebAuthenticationDetails> {

    /**
     * 创建一个WebAuthenticationDetails对象
     */  
    @Override
    public WebAuthenticationDetails buildDetails(HttpServletRequest request) {

        return new MyWebAuthenticationDetails(request);
    }

}

自定义DaoAuthenticationProvider

接下来通过继承DaoAuthenticationProvider父类，来引入对图形验证码的验证操作。



### 给大家的福利


**零基础入门**


对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。


![](https://img-blog.csdnimg.cn/img_convert/95608e9062782d28f4f04f821405d99a.png)


同时每个成长路线对应的板块都有配套的视频提供：


![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/a91b9e8100834e9291cfcf1695d8cd42.png#pic_center)


因篇幅有限，仅展示部分资料


网络安全面试题


![](https://img-blog.csdnimg.cn/img_convert/80674985176a4889f7bb130756893764.png)


绿盟护网行动


![](https://img-blog.csdnimg.cn/img_convert/9f3395407120bb0e1b5bf17bb6b6c743.png)


还有大家最喜欢的黑客技术


![](https://img-blog.csdnimg.cn/img_convert/5912337446dee53639406fead3d3f03c.jpeg)


**网络安全源码合集+工具包**


![](https://img-blog.csdnimg.cn/img_convert/5072ce807750c7ec721c2501c29cb7d5.png)


![](https://img-blog.csdnimg.cn/img_convert/4a5f4281817dc4613353c120c9543810.png)

**所有资料共282G**，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~




**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）**
![img](https://img-blog.csdnimg.cn/img_convert/7d30bf8d362be8c14f97f1a62bcf501a.png)

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**

810.png)

**所有资料共282G**，朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》，可以扫描下方二维码领取（如遇扫码问题，可以在评论区留言领取哦）~




**网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。**

**需要这份系统化的资料的朋友，可以添加V获取：vip204888 （备注网络安全）**
[外链图片转存中...(img-O1jezRjT-1713374545194)]

**一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！**