基于Spring安全角色的访问授权示例

最新推荐文章于 2022-07-16 10:13:08 发布
最新推荐文章于 2022-07-16 10:13:08 发布
阅读量273 收藏
点赞数
分类专栏： Spring 文章标签： Spring

 

基于Spring安全角色的访问授权示例

 

今天我们将研究基于Spring安全角色的访问和授权示例。但是在阅读这篇文章之前，请先阅读我之前关于“ Spring 4 Security MVC Login Logout Example ”的帖子，以获得有关Spring 4 Security的一些基本知识。

Spring安全角色

在这篇文章中，我们将讨论如何定义，使用和管理Spring Web Application中的“USER”，“ADMIN”等弹簧安全角色。

像我之前的帖子一样，这篇帖子的例子也是使用Spring 4 MVC Security with In-Memory Store和Spring Java Configuration Feature来开发应用程序。这意味着我们不会使用web.xml文件，也不会编写一行Spring XML Configuration。

我们将使用“内存存储”选项来存储和管理用户凭据。

我们将使用Spring 4.0.2.RELEASE，Spring STS 3.7 Suite IDE，带有Java 1.8的Spring TC Server 3.1和Maven构建工具来开发此示例。

基于Spring安全角色的访问授权示例

项目名称：SpringMVCSecruityMavenRolesApp


<artifactId>SpringMVCSecruityMavenRolesApp</artifactId>

<build>
  <finalName>SpringMVCSecruityMavenRolesApp</finalName>
</build>
</project>

LoginSecurityConfig.java


package com.journaldev.spring.secuity.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class LoginSecurityConfig extends WebSecurityConfigurerAdapter {

	@Autowired
	public void configureGlobal(AuthenticationManagerBuilder authenticationMgr) throws Exception {
		authenticationMgr.inMemoryAuthentication()
			.withUser("jduser").password("jdu@123").authorities("ROLE_USER")
			.and()
			.withUser("jdadmin").password("jda@123").authorities("ROLE_USER","ROLE_ADMIN");
	}
	
	@Override
	protected void configure(HttpSecurity http) throws Exception {

		
		http.authorizeRequests()
			.antMatchers("/homePage").access("hasRole('ROLE_USER') or hasRole('ROLE_ADMIN')")
			.antMatchers("/userPage").access("hasRole('ROLE_USER')")
			.antMatchers("/adminPage").access("hasRole('ROLE_ADMIN')")
			.and()
				.formLogin().loginPage("/loginPage")
				.defaultSuccessUrl("/homePage")
				.failureUrl("/loginPage?error")
				.usernameParameter("username").passwordParameter("password")				
			.and()
				.logout().logoutSuccessUrl("/loginPage?logout"); 
		
	}
}

代码说明

LoginController.java


package com.journaldev.spring.web.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestMethod;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.servlet.ModelAndView;

@Controller
public class LoginController {

	@RequestMapping(value = { "/"}, method = RequestMethod.GET)
	public ModelAndView welcomePage() {
		ModelAndView model = new ModelAndView();
		model.setViewName("welcomePage");
		return model;
	}

	@RequestMapping(value = { "/homePage"}, method = RequestMethod.GET)
	public ModelAndView homePage() {
		ModelAndView model = new ModelAndView();
		model.setViewName("homePage");
		return model;
	}
	
	@RequestMapping(value = {"/userPage"}, method = RequestMethod.GET)
	public ModelAndView userPage() {
		ModelAndView model = new ModelAndView();
		model.setViewName("userPage");
		return model;
	}
	
	@RequestMapping(value = {"/adminPage"}, method = RequestMethod.GET)
	public ModelAndView adminPage() {
		ModelAndView model = new ModelAndView();
		model.setViewName("adminPage");
		return model;
	}
	
	@RequestMapping(value = "/loginPage", method = RequestMethod.GET)
	public ModelAndView loginPage(@RequestParam(value = "error",required = false) String error,
	@RequestParam(value = "logout",	required = false) String logout) {
		
		ModelAndView model = new ModelAndView();
		if (error != null) {
			model.addObject("error", "Invalid Credentials provided.");
		}

		if (logout != null) {
			model.addObject("message", "Logged out from JournalDEV successfully.");
		}

		model.setViewName("loginPage");
		return model;
	}

}

代码说明
除了前面的帖子示例之外，这里我们还添加了两个新的URL。

homePage.jsp


<%@taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<a href="${pageContext.request.contextPath}/userPage">JD User</a> | <a href="${pageContext.request.contextPath}/adminPage">JD Admin</a> | <a href="javascript:document.getElementById('logout').submit()">Logout</a>

<h3>Welcome to JournalDEV Tutorials</h3>
<ul>
   <li>Java 8 tutorial</li>
   <li>Spring tutorial</li>
   <li>Gradle tutorial</li>
   <li>BigData tutorial</li>
</ul>

<c:url value="/logout" var="logoutUrl" />
<form id="logout" action="${logoutUrl}" method="post" >
  <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
</form>

在这里，我们在顶部框架添加了三个类似菜单的选项。我已在上一篇文章中讨论过“退出”。

新的两个链接是：

注意： -在实时应用程序中，我们将仅显示“用户”角色的“JD用户”链接并隐藏“JD Admin”链接。要测试它是否可以被“USER”角色访问，并且还要查看确切的错误消息，我们还没有隐藏此链接。

adminPage.jsp


<%@taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<h3>Welcome to JournalDEV Tutorials</h3>
<h3>Admin Page</h3>

<c:url value="/logout" var="logoutUrl" />
<form id="logout" action="${logoutUrl}" method="post" >
  <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
</form>
<c:if test="${pageContext.request.userPrincipal.name != null}">
	<a href="javascript:document.getElementById('logout').submit()">Logout</a>
</c:if>

userPage.jsp


<%@taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<h3>Welcome to JournalDEV Tutorials</h3>
<h3>User Page</h3>

<c:url value="/logout" var="logoutUrl" />
<form id="logout" action="${logoutUrl}" method="post" >
  <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
</form>
<c:if test="${pageContext.request.userPrincipal.name != null}">
	<a href="javascript:document.getElementById('logout').submit()">Logout</a>
</c:if>

我们现在已经完成了应用程序开发。是时候看看我们的项目最终结构并测试应用程序了。

弹簧安全角色示例

  1. 在Spring STS Suite中创建一个“Simple Spring Web Maven”项目，其中包含以下详细信息。
  2. 使用我之前帖子中的相同pom.xml文件进行以下更改
  3. 使用我之前发布的所有Java和JSP文件。我们将在此处仅讨论更新或新添加的内容。
  4. 更新LoginSecurityConfig.java文件以配置“USER”和“ADMIN”等用户角色。 
    
antMatchers("/homePage")
   .access("hasRole('ROLE_USER') or hasRole('ROLE_ADMIN')")

    此代码段配置“/ homePage”可用于USER和ADMIN角色。

    
 .antMatchers("/userPage").access("hasRole('ROLE_USER')")
 .antMatchers("/adminPage").access("hasRole('ROLE_ADMIN')")

    此代码段配置“/ userPage”只能由“USER”角色访问，而“/ adminPage”只能由“ADMIN”角色访问。

    如果其他角色访问这些页面，我们将访问“403 Access is Denied”错误消息。

    1. 在configureGlobal（）方法中，我们添加了两个用户：一个用户具有“ROLE_USER”角色，另一个用户具有“ROLE_USER”和“ROLE_ADMIN”角色。这意味着第二个用户将充当管理员用户。像这样我们可以配置任意数量的用户和角色。
    2. 我们可以使用权限（ROLE）或角色（ROLE）方法在我们的应用程序中配置角色。
    3. authority（）和roles（）方法之间的区别：
      • authorities（）需要完整的角色名称，如“ROLE_USER”
      • roles（）需要角色名称，如“USER”。它会自动将“ROLE_”值添加到此“USER”角色名称。
    4. 在configure（）方法中，我们已经定义了具有所需访问角色的不同URL。
  5. 更新LoginController.java控制器文件以定义新的URL访问路径，如下所示。
    1. USER Role使用“/ userPage”来访问和执行普通用户活动。
    2. ADMIN Role使用“/ adminPage”来访问和执行Admin用户活动。ADMIN角色也可以访问“/ userPage”URL。
  6. 更新了homePage.jsp文件以提供用户和管理员角色的特定活动。
    1. JD用户：可由“USER”和“ADMIN”角色访问
    2. JD Admin：只能由“ADMIN”角色访问
  7. 添加新的adminPage.jsp文件以充当“ADMIN”角色的主页。
  8. 添加新的userPage.jsp文件以充当“USER”角色的主页。
  9. 最终项目结构如下所示：

Spring安全角色示例应用程序测试

它将访问默认的Application欢迎页面，如下所示：

安全性安全角色登录inmemory示例

基于Spring安全角色的访问授权示例

用户名：jduser 
密码：jdu @ 123

Spring安全角色

现在我们将看到带有3个菜单选项的Application HomePage：“JD User”，“JD Admin”和“Logout”。

单击“JD User”链接。由于我们使用“USER”角色凭证登录到应用程序，我们可以访问此链接，如下所示。

基于Spring安全角色的访问

只需在Spring STS IDE中使用后退箭头，这次点击“JD Admin”链接即可。

Spring安全角色

由于我们已使用“USER”角色凭据登录，因此我们无法访问此链接。这就是我们看到此错误消息的原因：“403 Access被拒绝”。

用户名：jdadmin 
密码：jda @ 123

这次我们可以成功访问“JD Admin”链接，如下所示。

Spring安全角色示例

测试“注销”链接以退出应用程序。

  1. 右键单击Spring STS IDE中的Project并选择“Run AS >> Run on Server”选项。
  2. 点击“登录JournalDEV”链接。现在您在登录页面。
  3. 首次使用“USER”角色凭证登录：
  4. 现在记录并再次使用ADMIN Role Credentials登录

这就是Spring安全角色示例，它提供对Web应用程序页面的授权访问。

 

星河_赵梓宇
关注
专栏目录
Spring Security 基于角色的访问控制
qq_18208265的博客
09-10 2020
Spring Security 作为安全框架包含类两大核心的模块：认证与鉴权。在前两篇文章中展现了 Spring Security 中的认证模块一些内容，紧接着这篇文章会将目光放到 Spring Security 的鉴权模块中。介绍一下在 Spring Security 中如何使用鉴权功能。 那接下来就看一看在 Spring Security 中如何实现基于角色的访问控制吧！ 本文配套的示例源码： https://github.com/lxiaocode/spring-security-examples
爆破专栏丨Spring Security系列教程之Spring Security的四种权限控制方式
xiaoxijinger的博客
11-05 1255
原创：一一哥 前言： 在前面的章节中，一一哥 已经给大家介绍了Spring Security的很多功能，在这些众多功能中，我们知道其核心功能其实就是认证+授权。 在前面我们分别基于内存模型、基于默认的数据库模型、基于自定义数据库模型实现了认证和授权功能，但是不管哪种方式，我们对某个接口的拦截限制，都是通过编写一个SecurityConfig配置类，在该类的configure (Http Security http)方法中，通过http. authorize Requests ( ). antMatchers
SpringMVC权限和资源的安全访问（一）
xiaojiesu的专栏
10-27 2167
一、静态资源的访问， css、js、static页面 我们知道SpringMVC的核心配置是DispatcherServlet，我们所有的请求都要经过Servlet    springMVC   org.springframework.web.servlet.DispatcherServlet       contextConfigLocation     classpa
spring cloud之安全访问（八）
青鸟飞鱼
12-01 1919
所有的Rest 服务最终都是暴露在公网上的，也就是说如果你的Rest 服务属于一些你自己公司的私人业务，这样的结果会直接导致你信息的泄漏，所以对于Rest 访问，安全性是首要的因素。 1.1、配置安全验证 如果要想进行安全的验证处理，那么首先一定要先在服务的提供方上进行处理。 1、 【microcloud-provider-dept】修改pom.xml 配置文件，追加SpringSecurity ...
Spring Security 根据角色显示菜单是否可见
jiangshanwe
03-13 9306
1 角色和资源映射关系确定应用所需要的角色以及对应的资源在代码完成之后就已经完全确定，项目部署之后，不会有变动。这里可以使用spring的标准标签语言来实现
Spring安全权限管理（Spring Security）
wangliang369的博客
10-08 269
1.Spring Security简要介绍 Spring Security以前叫做acegi，是后来才成为Spring的一个子项目，也是目前最为流行的一个安全权限管理框架，它与Spring紧密结合在一起。 Spring Security关注的重点是在企业应用安全层为您提供服务，你将发现业务问题领域存在着...
RequestMapping的使用
weixin_42631615的博客
12-15 534
属性： 1）value，表示请求的url，url时唯一值。 @RequestMapping（value=“/user"） 2)method,表示请求的方式。它的值是RequestMethod 的枚举值：GET, HEAD, POST, PUT, DELETE, OPTIONS, TRACE @RequestMapping（value=“/user"， method =RequestMethod.GET ） 3)params，params属性中定义了请求中必须携带的参数的要求 @RequestMappin
Spring-User-Role-Security:基于Spring用户角色的项目的POC示例
03-10
8. **Spring Boot**：由于这是基于Spring的项目，很可能是Spring Boot应用，它简化了Spring应用的配置和部署。Spring Boot默认集成了许多功能，包括自动配置Spring Security。 9. **MVC架构**：Spring MVC模式用于...
springsecurity轻松实现角色权限的示例代码
08-19
Spring Security是一个基于Spring框架的安全框架，提供了身份验证、授权、加密等功能。它可以帮助开发者轻松地实现安全机制，使得应用程序更加安全可靠。 二、Spring Security在Spring Boot项目中的应用 在Spring ...
SpringBoot + Apache Shiro1.9.1 最新版本详细教程，基于RBAC角色访问、安全管理框架、用户角色权限
07-26
0、重点！重点！...1、本教程适用所有开发人员简单易懂，结合文章教程与demo示例。...5、基于RBAC五张表：用户表 tb_user、角色表tb_role、权限表tb_permission、用户角、表tb_user_role、角色权限tb_role_permissio
RequestMapping
weixin_30314793的博客
07-06 638
转载来源于https://blog.csdn.net/siwuxie095/article/details/79407097 @RequestMapping 使用须知 使用@RequestMapping 注解映射请求路径 即 你可以使用@RequestMapping注解来将请求URL映射到整个类上 或某个特定的方法上，即@RequestMappin...
用户授权
qq_43843037的博客
01-24 1138
用户授权 授权的方式包括 web授权和方法授权，web授权是通过 url拦截进行授权，方法授权是通过 方法拦截进行授权。他 们都会调用accessDecisionManager进行授权决策，若为web授权则拦截器为 FilterSecurityInterceptor；若为方 法授权则拦截器为MethodSecurityInterceptor。如果同时通过web授权和方法授权则先执行web授权，再执行方 法授权，最后决策通过，则允许访问资源，否则将禁止访问。 web授权 Spring Security可以通过
Spring Security 权限控制
m0_48922996的博客
07-16 8562
项目版本BootSecurity官网文档在前面的文章中，所有的接口只需要登录就能访问。并没有对每个接口进行权限限制。在正式的系统中，一个用户会拥有一个或者多个角色，而不同的角色会拥有不同的接口权限。如果要实现这些功能，需要重写中的。HttpSecurity用于构建一个安全过滤器链SecurityFilterChain，可以通过它来进行自定义安全访问策略。@Bean}@Override.and()}@Overridehttp.authorizeRequests()//开启配置。...
Spring Security 初识（四）--请求拦截
只有变秃 才能变强
12-29 2万+
Spring Security 初识（四）–请求拦截在我们前面的文章Spring Security 初识（一）中,我们看到了一个最简单的 Spring Security 配置,会要求所有的请求都要经过认证.但是,这并不是我们想要的,我们通常想自定义应用的安全性.因为有些路径我们想要谁都可以访问.Spring Security对此的实现也很简单.关键在于重载 WebSecurityConfigure
java antmatchers,spring security配置（.antMatchers("/").permitAll()）后，页面CSRF均报错
weixin_30794639的博客
03-12 3936
用springsecurity遇到一个头疼的问题，先看代码http.authorizeRequests().antMatchers("/**/*.css").permitAll().antMatchers("/**/*.js").permitAll().antMatchers("/favicon.ico").permitAll().antMatchers("/").permitAll().anyR...
请求授权(Authorize Requests)
热门推荐
苏美尔人的天空
08-23 3万+
我们的案例目前使用的是WebSecurityConfigurerAdapter中默认的HttpSecurity对象的配置，该配置是要求应用中所有url的访问都需要进行验证。我们也可以自定义哪些URL需要权限验证，哪些不需要。只需要在我们的SecurityConfig类中覆写configure(HttpSecurity http)方法即可。 protected void configure(H
Spring Security判断用户是否已经登录
孙亖的专栏
02-14 5945
方法一、JSP中检查user principal <c:if test="${pageContext.request.userPrincipal.name != null}"> <label> Hi ${pageContext.request.userPrincipal.name} ! Welcome to our...
springMvc+spring security 注解方式实现权限控制
Camellia919的博客
08-22 2万+
一个项目，权限自然是少不了的，在我来公司一段时间后发现公司后台的管理系统既然没有权限模块，所有人都都是超级管理员，更让人嗤之以鼻的是，整个系统也没有任何操作日志记录，这怎么得了，数据是的何等重要，岂是任谁都能操作的，且不说大家都很正常的使用，万一随便谁有个失误，那可是大事情，没有任何的操作记录，除了问题谁负责呢。所以来公司不久忙里偷闲先将权限搞定，接下来就是操作日志了。但是本人刚入行不是很久...
Spring Security OAuth 2.0 授权详解与流程示例
资源服务器接受来自客户端的请求，并基于授权令牌进行访问控制。 3. **Client Application** (客户端应用): 如微信公众号开发的应用，这些应用需要通过认证服务器获得授权，以便访问资源服务器的API，获取用户特定...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值