Spring Security 示例教程

最新推荐文章于 2024-09-30 08:30:00 发布
最新推荐文章于 2024-09-30 08:30:00 发布
阅读量518 收藏
点赞数 1
分类专栏： Spring 文章标签： Spring Security

 

Spring Security 示例教程

 

Spring Security提供了在Web应用程序中执行身份验证和授权的方法。我们可以在任何基于servlet的Web应用程序中使用spring security。

目录[ 隐藏 ]

春季安全

spring安全示例教程
使用Spring Security的一些好处是：

  1. 经过验证的技术，使用它比重新发明轮子更好。安全性是我们需要特别小心的事情，否则我们的应用程序将容易受到攻击者的攻击。
  2. 防止一些常见攻击，如CSRF，会话固定攻击。
  3. 易于集成到任何Web应用程序中。我们不需要修改Web应用程序配置，spring会自动将安全过滤器注入Web应用程序。
  4. 通过不同方式提供对身份验证的支持 - 内存，DAO，JDBC，LDAP等等。
  5. 提供忽略特定URL模式的选项，适用于提供静态HTML，图像文件。
  6. 支持组和角色。

Spring安全示例

我们将创建一个Web应用程序并将其与Spring Security集成。

使用Eclipse中的“ Dynamic Web Project ”选项创建Web应用程序，以便我们的框架Web应用程序准备就绪。确保将其转换为maven项目，因为我们使用Maven进行构建和部署。如果您不熟悉这些步骤，请参阅Java Web应用程序教程。

一旦我们确保我们的应用程序安全，最终的项目结构将如下图所示。

Spring安全示例教程

 

 

我们将研究三种Spring安全认证方法。

  1. 在记忆中
  2. DAO
  3. JDBC

对于JDBC，我使用MySQL数据库并执行以下脚本来创建用户详细信息表。


CREATE TABLE `Employees` (
  `username` varchar(20) NOT NULL DEFAULT '',
  `password` varchar(20) NOT NULL DEFAULT '',
  `enabled` tinyint(1) NOT NULL DEFAULT '1',
  PRIMARY KEY (`username`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `Roles` (
  `username` varchar(20) NOT NULL DEFAULT '',
  `role` varchar(20) NOT NULL DEFAULT '',
  PRIMARY KEY (`username`,`role`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

INSERT INTO `Employees` (`username`, `password`, `enabled`)
VALUES
	('pankaj', 'pankaj123', 1);

INSERT INTO `Roles` (`username`, `role`)
VALUES
	('pankaj', 'Admin'),
	('pankaj', 'CEO');

commit;

我们还需要在我们的servlet容器中将JDBC DataSource配置为JNDI，要了解这一点，请阅读Tomcat JNDI DataSource示例。

Spring Security Maven依赖项

这是我们的最终pom.xml文件。


<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
	<modelVersion>4.0.0</modelVersion>
	<groupId>WebappSpringSecurity</groupId>
	<artifactId>WebappSpringSecurity</artifactId>
	<version>0.0.1-SNAPSHOT</version>
	<packaging>war</packaging>
	<dependencies>
		<!-- Spring Security Artifacts - START -->
		<dependency>
			<groupId>org.springframework.security</groupId>
			<artifactId>spring-security-web</artifactId>
			<version>3.2.3.RELEASE</version>
		</dependency>
		<dependency>
			<groupId>org.springframework.security</groupId>
			<artifactId>spring-security-config</artifactId>
			<version>3.2.3.RELEASE</version>
		</dependency>
		<dependency>
			<groupId>org.springframework.security</groupId>
			<artifactId>spring-security-taglibs</artifactId>
			<version>3.0.5.RELEASE</version>
		</dependency>
		<!-- Spring Security Artifacts - END -->

		<dependency>
			<groupId>javax.servlet</groupId>
			<artifactId>jstl</artifactId>
			<version>1.2</version>
			<scope>compile</scope>
		</dependency>
		<dependency>
			<groupId>javax.servlet.jsp</groupId>
			<artifactId>jsp-api</artifactId>
			<version>2.1</version>
			<scope>provided</scope>
		</dependency>
		<dependency>
			<groupId>javax.servlet</groupId>
			<artifactId>javax.servlet-api</artifactId>
			<version>3.0.1</version>
			<scope>provided</scope>
		</dependency>
		<dependency>
			<groupId>commons-logging</groupId>
			<artifactId>commons-logging</artifactId>
			<version>1.1.1</version>
		</dependency>
		<dependency>
			<groupId>org.springframework</groupId>
			<artifactId>spring-jdbc</artifactId>
			<version>4.0.2.RELEASE</version>
		</dependency>
	</dependencies>
	<build>
		<sourceDirectory>src</sourceDirectory>
		<plugins>
			<plugin>
				<artifactId>maven-compiler-plugin</artifactId>
				<version>3.1</version>
				<configuration>
					<source>1.7</source>
					<target>1.7</target>
				</configuration>
			</plugin>
			<plugin>
				<artifactId>maven-war-plugin</artifactId>
				<version>2.3</version>
				<configuration>
					<warSourceDirectory>WebContent</warSourceDirectory>
					<failOnMissingWebXml>false</failOnMissingWebXml>
				</configuration>
			</plugin>
		</plugins>
	</build>
</project>

我们有以下与Spring Framework相关的依赖项。

  1. spring-jdbc：这用于JDBC身份验证方法的JDBC操作。它需要将DataSource设置为JNDI。有关它的用法的完整示例，请参阅Spring DataSource JNDI示例
  2. spring-security-taglibs：Spring Security标记库，我用它在JSP页面中显示用户角色。大多数时候，你不会需要它。
  3. spring-security-config：用于配置身份验证提供程序，是否使用JDBC，DAO，LDAP等。
  4. spring-security-web：该组件将Spring Security与Servlet API集成在一起。我们需要它来在Web应用程序中插入我们的安全配置。

另请注意，我们将使用Servlet API 3.0功能通过编程方式添加侦听器和过滤器，这就是依赖项中的servlet api版本应为3.0或更高的原因。

Spring安全示例查看页面

我们的应用程序中有JSP和HTML页面。我们希望在除HTML页面之外的所有页面中应用身份验证。

health.html


<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<title>Health Check</title>
</head>
<body>
    <h3>Service is up and running!!</h3>
</body>
</html>

index.jsp


<%@ page language="java" contentType="text/html; charset=UTF-8"
    pageEncoding="UTF-8"%>
<%@ taglib uri="http://java.sun.com/jsp/jstl/core" prefix="c" %>
<%@ taglib uri="http://www.springframework.org/security/tags" prefix="sec" %>
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<title>Home Page</title>
</head>
<body>
<h3>Home Page</h3>

	<p>
      Hello <b><c:out value="${pageContext.request.remoteUser}"/></b><br>
      Roles: <b><sec:authentication property="principal.authorities" /></b>
    </p>
    
    <form action="logout" method="post">
      <input type="submit" value="Logout" />
      <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}"/>
    </form>
</body>
</html>

我已经包括index.jsp如welcome-file在应用程序部署描述符。

Spring Security负责CSRF攻击，因此当我们提交注销表单时，我们将CSRF令牌发送回服务器以将其删除。Spring Security组件设置的CSRF对象是_csrf，我们使用它的属性名和标记值在注销请求中传递。

我们现在来看看Spring Security配置。

Spring安全示例UserDetailsS​​ervice DAO实现

由于我们也将使用基于DAO的身份验证，我们需要实现UserDetailsService接口并提供loadUserByUsername()方法的实现。

理想情况下，我们应该使用一些资源来验证用户，但为了简单起见，我只是在进行基本验证。

AppUserDetailsServiceDAO.java

 


package com.journaldev.webapp.spring.dao;

import java.util.Collection;
import java.util.List;

import org.apache.commons.logging.Log;
import org.apache.commons.logging.LogFactory;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;

public class AppUserDetailsServiceDAO implements UserDetailsService {

	protected final Log logger = LogFactory.getLog(getClass());
	
	@Override
	public UserDetails loadUserByUsername(final String username)
			throws UsernameNotFoundException {
		
		logger.info("loadUserByUsername username="+username);
		
		if(!username.equals("pankaj")){
			throw new UsernameNotFoundException(username + " not found");
		}
		
		//creating dummy user details, should do JDBC operations
		return new UserDetails() {
			
			private static final long serialVersionUID = 2059202961588104658L;

			@Override
			public boolean isEnabled() {
				return true;
			}
			
			@Override
			public boolean isCredentialsNonExpired() {
				return true;
			}
			
			@Override
			public boolean isAccountNonLocked() {
				return true;
			}
			
			@Override
			public boolean isAccountNonExpired() {
				return true;
			}
			
			@Override
			public String getUsername() {
				return username;
			}
			
			@Override
			public String getPassword() {
				return "pankaj123";
			}
			
			@Override
			public Collection<? extends GrantedAuthority> getAuthorities() {
				List<SimpleGrantedAuthority> auths = new java.util.ArrayList<SimpleGrantedAuthority>();
				auths.add(new SimpleGrantedAuthority("admin"));
				return auths;
			}
		};
	}

}

请注意，我正在创建匿名内部类UserDetails并返回它。您可以为它创建一个实现类，然后实例化并返回它。通常这是实际应用程序的方式。

Spring安全示例WebSecurityConfigurer实现

我们可以实现WebSecurityConfigurer接口，或者我们可以扩展基础实现类WebSecurityConfigurerAdapter并覆盖方法。

SecurityConfig.java


package com.journaldev.webapp.spring.security;

import javax.naming.Context;
import javax.naming.InitialContext;
import javax.sql.DataSource;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

import com.journaldev.webapp.spring.dao.AppUserDetailsServiceDAO;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

	@Override
	public void configure(AuthenticationManagerBuilder auth)
			throws Exception {

		// in-memory authentication
		// auth.inMemoryAuthentication().withUser("pankaj").password("pankaj123").roles("USER");

		// using custom UserDetailsService DAO
		// auth.userDetailsService(new AppUserDetailsServiceDAO());

		// using JDBC
		Context ctx = new InitialContext();
		DataSource ds = (DataSource) ctx
				.lookup("java:/comp/env/jdbc/MyLocalDB");

		final String findUserQuery = "select username,password,enabled "
				+ "from Employees " + "where username = ?";
		final String findRoles = "select username,role " + "from Roles "
				+ "where username = ?";
		
		auth.jdbcAuthentication().dataSource(ds)
				.usersByUsernameQuery(findUserQuery)
				.authoritiesByUsernameQuery(findRoles);
	}
	
	@Override
    public void configure(WebSecurity web) throws Exception {
        web
            .ignoring()
                // Spring Security should completely ignore URLs ending with .html
                .antMatchers("/*.html");
    }

}

请注意，我们通过重写configure(WebSecurity web)方法忽略所有HTML文件。

该代码显示了如何插入JDBC身份验证。我们需要通过提供DataSource来配置它。由于我们使用自定义表，因此我们还需要提供选择查询以获取用户详细信息及其角色。

配置内存和基于DAO的身份验证很简单，它们在上面的代码中进行了注释。您可以取消注释以使用它们，确保一次只有一个配置。

@Configuration和@EnableWebSecurity注释是必需的，因此spring框架知道这个类将用于spring安全配置。

Spring Security Configuration使用的是Builder Pattern，并且基于authenticate方法，稍后将无法使用某些方法。例如，auth.userDetailsService()返回实例UserDetailsService然后我们不能有任何其他选项，例如我们不能在它之后设置DataSource。

将Spring Security Web与Servlet API集成

最后一部分是将Spring Security配置类集成到Servlet API中。这可以通过扩展AbstractSecurityWebApplicationInitializer类并在超类构造函数中传递Security配置类来轻松完成。

SecurityWebApplicationInitializer.java


package com.journaldev.webapp.spring.security;

import org.springframework.security.web.context.AbstractSecurityWebApplicationInitializer;

public class SecurityWebApplicationInitializer extends
		AbstractSecurityWebApplicationInitializer {

	public SecurityWebApplicationInitializer() {
        super(SecurityConfig.class);
    }
}

当我们的上下文启动时，它使用ServletContext添加ContextLoaderListener监听器并将我们的配置类注册为Servlet Filter。

请注意，这仅适用于Servlet-3投诉servlet容器。因此，如果您使用的是Apache Tomcat，请确保其版本为7.0或更高版本。

我们的项目准备就绪，只需将它部署在您最喜欢的servlet容器中。我正在使用Apache Tomcat-7来运行此应用程序。

下图显示了各种情况下的响应。

无安全地访问HTML页面

Spring Security忽略了

身份验证失败的身份验证失败

Spring安全示例Bad Credentials

具有Spring Security JDBC身份验证的主页

Spring Security JDBC

具有Spring Security UserDetailsS​​ervice DAO身份验证的主页

Spring Security DAO

具有Spring Security内存中认证的主页

内存中的Spring安全示例

退出页面

Spring安全表单注销

如果要使用不支持Servlet规范3的Servlet容器，则需要DispatcherServlet通过部署描述符进行注册。有关WebApplicationInitializer更多详细信息，请参阅JavaDoc 。

这就是Spring Security示例教程以及它在基于Servlet的Web应用程序中的集成。请从下面链接下载示例项目并使用它来了解更多信息。

下载Spring Servlet Security 项目

星河_赵梓宇
关注
专栏目录
Spring Security教程(三)
码猿同学
01-02 3706
在上一篇博客中讲解了用Spring Security自带的默认数据库存储用户和权限的数据，但是Spring Security默认提供的表结构太过简单了，其实就算默认提供的表结构很复杂，也不一定能满足项目对用户信息和权限信息管理的要求。那么接下来就讲解如何自定义数据库实现对用户信息和权限信息的管理。 一 自定义表结构 这里还是用的mysql数据库，所以pom.xml文件都不用修改。这里只要新建三
springsecurity教程
热门推荐
qq_35872777的博客
05-28 1万+
1、什么是springsecurity:
SpringSecurity基础教程
我有故人折剑去，斩尽春风不曾归
03-22 1210
基本上涉及到用户参与的系统都要进行权限管理，权限管理属于系统安全的范畴，权限管理实现对用户访问系统的控制，按照安全规则或者安全策略控制用户可以访问而且只能访问自己被授权的资源。​ 权限管理包括用户身份认证鉴权（授权）两部分，简称认证授权。对于需要访问控制的资源用户首先经过身份认证，认证通过后用户具有该资源的访问权限方可访问。是一个能够为基于 Spring 的企业应用系统提供声明式的安全访问控制解决方案的安全框架。
spring security 超详细使用教程（接入springboot、前后端分离）
最新发布
小程xy的博客
09-30 3976
Spring Security 是一个强大且可扩展的框架，用于保护 Java 应用程序，尤其是基于 Spring 的应用。它提供了身份验证（验证用户身份）、授权（管理用户权限）和防护机制（如 CSRF 保护和防止会话劫持）等功能。 Spring Security 允许开发者通过灵活的配置实现安全控制，确保应用程序的数据和资源安全。通过与其他 Spring 生态系统的无缝集成，Spring Security 成为构建安全应用的理想选择。- **前端**： - 用户在登录界面输入用户名和密码。 - 前
Spring Security教程
qq_28248897的博客
08-31 4236
Spring Security教程 Web系统中登录认证（Authentication）的核心就是凭证机制，无论是Session还是JWT，都是在用户成功登录时返回给用户一个凭证，后续用户访问接口需携带凭证来标明自己的身份。后端会对需要进行认证的接口进行安全判断，若凭证没问题则代表已登录就放行接口，若凭证有问题则直接拒绝请求。这个安全判断都是放在过滤器里统一处理的： 登录认证是对用户的身份进行确认，权限授权（Authorization）是对用户能否访问某个资源进行确认，授权发生在认证之后。 这种通用逻辑都
spring security 使用示例
先天牛马圣体
08-19 2158
用户名密码认证、短信验证码认证、踢人下线、 AuthorizationFilter 授权、FilterSecurityInterceptor url / expression 授权、登出、分布式配置。 2、SecurityConfig   先添加一个 SecurityConfig 配置类，作为整个 spring security 的核心配置，后续的认证、授权等功能都将在整个配置类中完成。 3、用户名密码认证   用户名密码认证主要是自定义实现 UserDetails、UserDetailsService、A
Spring Cloud Gateway 整合 Spring Security 统一登录认证鉴权
02-24
在压缩包文件`spring_gateway_security_webflux`中，可能包含了示例代码或配置文件，用于演示如何在Spring Cloud Gateway中集成Spring Security，实现统一登录认证鉴权。这些资源可以帮助开发者更快地理解和实践上述...
Spring Security Oauth2.0 实现短信验证码登录示例
08-28
Spring Security Oauth2.0 实现短信验证码登录示例 本篇文章主要介绍了 Spring Security Oauth2.0 实现短信验证码登录示例，具有一定的参考价值。下面是该示例的详细知识点解释： 一、Spring Security Oauth2.0 ...
基本的spring mvc + spring security实现的登录（无数据库）
01-01
这个简单的示例为初学者提供了一个了解Spring MVC和Spring Security交互的基础平台，有助于理解这两个框架在实际项目中的作用和集成方式。通过深入研究和实践，可以进一步提升Web应用的安全性和可维护性。
Spring Security示例
09-29
**Spring Security概述** Spring Security是Java领域中一个强大的安全框架，专为Web和企业应用程序提供安全解决方案。它提供了丰富的功能，包括用户认证、授权、访问控制、加密以及CSRF（跨站请求伪造）防护等，...
【SpringBoot3】Spring Security 详细使用实例（简单使用、JWT模式）
不积跬步无以至千里，不积小流无以成江海。一个喜欢学习分享的程序员
02-23 4427
Spring Security 使用起来非常简单，只要引入相关依赖包，然后增加注解`@EnableWebSecurity`就可以。同时提供了丰富的扩展点，可以让你自定义权限校验策略。 常见的使用场景分两类： 1. 有session模式，通常是前端不分离的项目，使用cookie + session 模式存储以及校验用户权限； 2. 无session模式，通常是前后端分离项目，使用Jwt形式的Token校验权限
spring security 完整项目实例
01-07
基于用户，角色，权限的spring security完整项目，包括登陆，免登陆，session配置，角色，权限验证等功能
Spring Security 简单示例
MaiYo_
09-07 579
Spring security 默认开启 csrf ，post 提交需要提供 csrf token 注销的处理逻辑： The default is that accessing the URL "/logout" will log the user out by invalidating the HTTP Session, cleaning up any rememberMe() au
Spring Security教程(一)
wenzhen_csdn的博客
08-20 5389
https://blog.csdn.net/airmario/article/details/53955727
Spring Security示例教程
从零开始的教程世界
07-13 939
Spring Security provides ways to perform authentication and authorization in a web application. We can use spring security in any servlet based web application. Spring Security提供了在Web应用程序中执行身份验证和授权的方法...
SpringSecurity的简单案例
天元白手的博客
07-25 468
创建一个项目只需要加入security和web的依赖： <dependencies> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter</artifactId> </dependency> <de
Spring Security的实例
weixin_63769623的博客
01-07 845
Spring Security的实例
spring-security示例
weixin_73181422的博客
08-13 332
spring security示例
Spring Security小例子
duke_ding2的博客
01-12 2443
注：本文大体上是对Spring Security官方文档（https://spring.io/guides/gs/securing-web/）的一次编码实践。 开发环境 操作系统：Ubuntu 20.04 开发工具：IntelliJ IDEA 2021.3.1 (Community Edition) JDK： ➜ ~ java -version java version "17.0.1" 2021-10-19 LTS Java(TM) SE Runtime Environment (build 17.
Spring Security入门教程：吴老师讲义
你可以通过手动添加jar包来解决这个问题，删除MyEclipse自动生成的旧版本jar包，然后将Spring Security示例程序中的lib目录下的所有jar包拷贝到你的工程中。 配置Spring Security通常涉及以下几个步骤： 1. **添加...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值