spring security总结 太有用了！！

最新推荐文章于 2022-11-03 11:13:10 发布
最新推荐文章于 2022-11-03 11:13:10 发布
阅读量490 收藏
点赞数
分类专栏： SSH
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/CHEN_DE_QUAN/article/details/48311769
版权
转至：  http://www.cnblogs.com/yl2755/archive/2012/04/19/2456823.html
谢谢作者！！！

首先导入spring security所需要的jar包 
spring-security-core-2.0.5.RELEASE.jar 
spring-security-core-tiger-2.0.5.RELEASE.jar 
一.配置过滤器 
在web.xml中定义如下过滤器 
   
        springSecurityFilterChain 
        org.springframework.web.filter.DelegatingFilterProxy 
     
     
        springSecurityFilterChain 
         
CREATE TABLE `t_account` ( 
  `id` int(11) NOT NULL, 
  `username` varchar(255) default NULL, 
  `password` varchar(255) default NULL, 
  `enabled` int default NULL,  
  PRIMARY KEY  (`id`) 
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8; 
     
    CREATE TABLE `t_role` ( 
  `id` int(11) NOT NULL, 
  `name` varchar(255) default NULL,  
  `descn` varchar(255) default NULL,  
  PRIMARY KEY  (`id`) 
) ENGINE=InnoDB DEFAULT CHARSET=utf8; 

 
CREATE TABLE `t_account_role` ( 
  `a_id` int(11) NOT NULL, 
  `r_id` int(11) NOT NULL, 
  PRIMARY KEY  (`a_id`,`r_id`), 
  KEY `FK1C2BC9332D31C656` (`r_id`), 
  KEY `FK1C2BC93371CCC630` (`a_id`), 
  CONSTRAINT `FK1C2BC93384B0A30E` FOREIGN KEY (`a_id`) REFERENCES `t_account` (`id`), 
  CONSTRAINT `FK1C2BC9332D31C656` FOREIGN KEY (`r_id`) REFERENCES `t_role` (`id`) 
) ENGINE=InnoDB DEFAULT CHARSET=utf8; 

 
insert into t_account values(1,'zhangsan','123',1); 
insert into t_account values(2,'lisi','321',1); 

insert into t_role values(1,'系统管理员','ROLE_ADMIN'); 
insert into t_role values(2,'普通用户','ROLE_USER'); 

insert into t_account_role values(1,2); 
    insert into t_account_role values(2,1); 
    
当用户登录时，spring security首先判断用户是否可以登录。用户登录后spring security获得该用户的 
所有权限以判断用户是否可以访问资源。 

spring配置文件中定义 
 
       
        users-by-username-query="select username,password,enabled from t_account where username=?" 
        authorities-by-username-query="select r.descn from t_account_role ar join 
         t_account a on ar.a_id=a.id join t_role r on ar.r_id=r.id where a.username=?"/> 
     
    
    users-by-username-query：根据用户名查找用户 
    authorities-by-username-query：根据用户名查找这个用户所有的角色名，将用户访问的URL地址和 
    查询结果与标签进行匹配。 
    匹配成功就允许访问，否则就返回到提示页面。 
    
    在标签中添加登录页面等信息 
     
       
         
         CREATE TABLE `t_account` ( 
  `id` int(11) NOT NULL, 
  `username` varchar(255) default NULL, 
  `password` varchar(255) default NULL, 
  `enabled` int default NULL,  
  PRIMARY KEY  (`id`) 
    ) ENGINE=InnoDB DEFAULT CHARSET=utf8; 
     
    CREATE TABLE `t_role` ( 
  `id` int(11) NOT NULL, 
  `name` varchar(255) default NULL,  
  `descn` varchar(255) default NULL,  
  PRIMARY KEY  (`id`) 
) ENGINE=InnoDB DEFAULT CHARSET=utf8; 

 
CREATE TABLE `t_account_role` ( 
  `a_id` int(11) NOT NULL, 
  `r_id` int(11) NOT NULL, 
  PRIMARY KEY  (`a_id`,`r_id`), 
  KEY `FK1C2BC9332D31C656` (`r_id`), 
  KEY `FK1C2BC93371CCC630` (`a_id`), 
  CONSTRAINT `FK1C2BC93384B0A30E` FOREIGN KEY (`a_id`) REFERENCES `t_account` (`id`), 
  CONSTRAINT `FK1C2BC9332D31C656` FOREIGN KEY (`r_id`) REFERENCES `t_role` (`id`) 
) ENGINE=InnoDB DEFAULT CHARSET=utf8; 
 
CREATE TABLE `t_module` ( 
  `id` int(11) NOT NULL, 
  `name` varchar(255) default NULL, 
  `address` varchar(255) default NULL, 
  PRIMARY KEY  (`id`) 
) ENGINE=InnoDB DEFAULT CHARSET=utf8; 

 
CREATE TABLE `t_module_role` ( 
  `m_id` int(11) NOT NULL, 
  `r_id` int(11) NOT NULL, 
  PRIMARY KEY  (`m_id`,`r_id`), 
  KEY `FKA713071E2D31C656` (`r_id`), 
  KEY `FKA713071ED78C9071` (`m_id`), 
  CONSTRAINT `FKA713071ED78C9071` FOREIGN KEY (`m_id`) REFERENCES `t_module` (`id`), 
  CONSTRAINT `FKA713071E2D31C656` FOREIGN KEY (`r_id`) REFERENCES `t_role` (`id`) 
) ENGINE=InnoDB DEFAULT CHARSET=utf8; 

 
insert into t_account values(1,'zhangsan','123',1); 
insert into t_account values(2,'lisi','321',1); 

insert into t_role values(1,'系统管理员','ROLE_ADMIN'); 
insert into t_role values(2,'普通用户','ROLE_USER'); 

insert into t_account_role values(1,2); 
    insert into t_account_role values(2,1); 
    
    insert into t_module values(1,'部门管理','/dept.jsp'); 
    insert into t_module values(2,'人员管理','/emp.jsp'); 
    
    insert into `t_module_role` values(1,1); 
    insert into `t_module_role` values(1,2); 
    insert into `t_module_role` values(2,1); 
    
1.在自定义的过滤器中获取资源的URL地址和角色名以取代spring配置文件中原有的 
    过滤器代码： 
import java.sql.ResultSet; 
import java.sql.SQLException; 

import java.util.LinkedHashMap; 
import java.util.List; 
import java.util.Map; 

import javax.sql.DataSource; 

import org.springframework.beans.factory.FactoryBean; 

import org.springframework.jdbc.core.support.JdbcDaoSupport; 
import org.springframework.jdbc.object.MappingSqlQuery; 

import org.springframework.security.ConfigAttributeDefinition; 
import org.springframework.security.ConfigAttributeEditor; 
import org.springframework.security.intercept.web.DefaultFilterInvocationDefinitionSource; 
import org.springframework.security.intercept.web.FilterInvocationDefinitionSource; 
import org.springframework.security.intercept.web.RequestKey; 
import org.springframework.security.util.AntUrlPathMatcher; 
import org.springframework.security.util.UrlMatcher; 


public class JdbcFilterInvocationDefinitionSourceFactoryBean 
    extends JdbcDaoSupport implements FactoryBean { 
    private String resourceQuery; 

    public boolean isSingleton() { 
        return true; 
    } 

    public Class getObjectType() { 
        return FilterInvocationDefinitionSource.class; 
    } 

    public Object getObject() { 
        return new DefaultFilterInvocationDefinitionSource(this 
            .getUrlMatcher(), this.buildRequestMap()); 
    } 

    protected Map findResources() { 
        ResourceMapping resourceMapping = new ResourceMapping(getDataSource(), 
                resourceQuery); 

        Map resourceMap = new LinkedHashMap(); 

        for (Resource resource : (List) resourceMapping.execute()) { 
            String url = resource.getUrl(); 
            String role = resource.getRole(); 

            if (resourceMap.containsKey(url)) { 
                String value = resourceMap.get(url); 
                resourceMap.put(url, value + "," + role); 
            } else { 
                resourceMap.put(url, role); 
            } 
        } 

        return resourceMap; 
    } 

    protected LinkedHashMap buildRequestMap() { 
        LinkedHashMap requestMap = null; 
        requestMap = new LinkedHashMap(); 

        ConfigAttributeEditor editor = new ConfigAttributeEditor(); 

        Map resourceMap = this.findResources(); 

        for (Map.Entry entry : resourceMap.entrySet()) { 
            RequestKey key = new RequestKey(entry.getKey(), null); 
            editor.setAsText(entry.getValue()); 
            requestMap.put(key, 
                (ConfigAttributeDefinition) editor.getValue()); 
        } 

        return requestMap; 
    } 

    protected UrlMatcher getUrlMatcher() { 
        return new AntUrlPathMatcher(); 
    } 

    public void setResourceQuery(String resourceQuery) { 
        this.resourceQuery = resourceQuery; 
    } 

    private class Resource { 
        private String url; 
        private String role; 

        public Resource(String url, String role) { 
            this.url = url; 
            this.role = role; 
        } 

        public String getUrl() { 
            return url; 
        } 

        public String getRole() { 
            return role; 
        } 
    } 

    private class ResourceMapping extends MappingSqlQuery { 
        protected ResourceMapping(DataSource dataSource, 
            String resourceQuery) { 
            super(dataSource, resourceQuery); 
            compile(); 
        } 

        protected Object mapRow(ResultSet rs, int rownum) 
            throws SQLException { 
            String url = rs.getString(1); 
            String role = rs.getString(2); 
            Resource resource = new Resource(url, role); 
            
            return resource; 
        } 
    } 
} 

将自定义的过滤器放入到原有的spring security过滤器链中（在spring配置文件中配置） 
定义自定义过滤器（sql语句用于查询资源的URL地址 如：/index.jsp 和角色名 如ROLE_USER） 

        class="com.lovo.JdbcFilterInvocationDefinitionSourceFactoryBean"> 
         
                     select m.address,r.descn 
from t_module_role mr 
join t_module m on mr.m_id=m.id 
join t_role r on mr.r_id=r.id; 
        "/> 
     
  将自定义过滤器放入过滤器链中 
 
        class="org.springframework.security.intercept.web.FilterSecurityInterceptor" > 
         
         
     
    注意：FilterSecurityInterceptor过滤器会向request中写入一个标记，用于标记是否已经控制了当前请求，以避免对同一请求多次处理，导致第2个FilterSecurityInterceptor不会再次执行。 
    在中不需要再定义,如下： 
     
       
                    authentication-failure-url="/error.jsp" 
                    default-target-url="/index.jsp" /> 
                    
     
    自定义的过滤器就从配置文件中读取sql，查询结果就是角色和资源，用户登录时就在session中保存了用户的角色。 
    注意：intercept-url的先后顺序，spring security使用第一个能匹配的intercept-url标签进行权限控制。 
    现在intercept-url来源于数据库，所以在sql查询时注意角色和资源的顺序。 
    建议在角色和资源的中间表中添加1个字段用于标识顺序，（按从严到宽的顺序） 
    表结构修改如下： 
     
CREATE TABLE `t_module_role` ( 
  `m_id` int(11) NOT NULL, 
  `r_id` int(11) NOT NULL, 
  `priority` int(11) default NULL,  
  PRIMARY KEY  (`m_id`,`r_id`), 
  KEY `FKA713071E2D31C656` (`r_id`), 
  KEY `FKA713071ED78C9071` (`m_id`), 
  CONSTRAINT `FKA713071ED78C9071` FOREIGN KEY (`m_id`) REFERENCES `t_module` (`id`), 
  CONSTRAINT `FKA713071E2D31C656` FOREIGN KEY (`r_id`) REFERENCES `t_role` (`id`) 
) ENGINE=InnoDB DEFAULT CHARSET=utf8; 

数据如下： 
insert into t_account values(1,'zhangsan','123',1); 
insert into t_account values(2,'lisi','321',1); 

insert into t_role values(1,'系统管理员','ROLE_ADMIN'); 
insert into t_role values(2,'普通用户','ROLE_USER'); 

insert into t_account_role values(1,2); 
    insert into t_account_role values(2,1); 
    
    insert into t_module values(1,'部门管理','/dept.jsp'); 
    insert into t_module values(2,'人员管理','/emp.jsp'); 
    
    insert into `t_module_role` values(1,1,3); 
    insert into `t_module_role` values(1,2,2); 
    insert into `t_module_role` values(2,1,1); 
    
    自定义过滤器修改如下： 
   
        class="com.lovo.JdbcFilterInvocationDefinitionSourceFactoryBean"> 
         
                     select m.address,r.descn 
from t_module_role mr 
join t_module m on mr.m_id=m.id 
join t_role r on mr.r_id=r.id 
order by mr.priority 
        "/> 
     
    
    如果持久层使用的是hibernate，那么只需要给自定义过滤器注入1个hibernateTemplate. 
    在自定义过滤器中就不需要再使用mapRow的方式。而是直接获取url和角色名即可。 
    例如： 
    public class ModuleFilter implements FactoryBean { 
private String resourceQuery; 

    public boolean isSingleton() { 
        return true; 
    } 

    public Class getObjectType() { 
        return FilterInvocationDefinitionSource.class; 
    } 

    public Object getObject() { 
        return new DefaultFilterInvocationDefinitionSource(this 
            .getUrlMatcher(), this.buildRequestMap()); 
    } 

    protected Map findResources() { 
        ResourceMapping resourceMapping = new ResourceMapping(); 

        Map resourceMap = new LinkedHashMap(); 

        for (Resource resource : (List) resourceMapping.execute()) { 
            String url = resource.getUrl(); 
            String role = resource.getRole(); 

            if (resourceMap.containsKey(url)) { 
                String value = resourceMap.get(url); 
                resourceMap.put(url, value + "," + role); 
            } else { 
                resourceMap.put(url, role); 
            } 
        } 

        return resourceMap; 
    } 

    protected LinkedHashMap buildRequestMap() { 
        LinkedHashMap requestMap = null; 
        requestMap = new LinkedHashMap(); 

        ConfigAttributeEditor editor = new ConfigAttributeEditor(); 

        Map resourceMap = this.findResources(); 

        for (Map.Entry entry : resourceMap.entrySet()) { 
            RequestKey key = new RequestKey(entry.getKey(), null); 
            editor.setAsText(entry.getValue()); 
            requestMap.put(key, 
                (ConfigAttributeDefinition) editor.getValue()); 
        } 

        return requestMap; 
    } 

    protected UrlMatcher getUrlMatcher() { 
        return new AntUrlPathMatcher(); 
    } 

    public void setResourceQuery(String resourceQuery) { 
        this.resourceQuery = resourceQuery; 
    } 

    private class Resource { 
        private String url; 
        private String role; 

        public Resource(String url, String role) { 
            this.url = url; 
            this.role = role; 
        } 

        public String getUrl() { 
            return url; 
        } 

        public String getRole() { 
            return role; 
        } 
    } 

    private class ResourceMapping{ 
        public List execute(){ 
        List rlist = new ArrayList(); 
        List list = hibernateTemplate.find(resourceQuery); 
        for(int i=0;i
        Role role = list.get(i); 
        Set set = role.getModuleSet(); 
        Iterator it = set.iterator(); 
        while(it.hasNext()){ 
        Module m = it.next(); 
        Resource re = new Resource(m.getUrl(),role.getDescn()); 
        rlist.add(re); 
        } 
        } 
return rlist; 
        } 
    } 

    public void setHibernateTemplate(HibernateTemplate hibernateTemplate) { 
this.hibernateTemplate = hibernateTemplate; 
} 

private HibernateTemplate hibernateTemplate; 
} 
而从灵活性的角度考虑，把hql写在配置文件中 
 
        
         value="from com.lovo.po.Role order by ind"> 
          
          
          
     
    
    问题：系统只会在初始化的时候从数据库中加载信息。无法识别数据库中信息的改变。 
    解决：每个jsp页面上重新内存 
    代码：每个jsp页面include如下代码： 
ubuntuvim
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
 基于Spring Security安全框架的联通资源管理系统安全分析
01-30
 基于为联通资源管系统提供一个方便可靠的安全框架的目的，采用“面向切面编程”（AOP）的Spring Security安全框架，结合了Spring框架提供的“控制反转”技术，最终创建了一个功能强大、安全可靠的权限控制安全...
SpringSecurity简单实用
Burgess_Lee的博客
07-15 179
很早之前就学习了解过Spring-Security框架，但是因为做项目使用的是Apache-Shiro框架，所以时间久了也就忘了。这里针对此次学习和总结到的框架的基本知识点进行重点总结，方便以后开发，也希望给你遇到的问题提供一定的帮助。 应用场景 企业级角色权限控制 授权认证Oauth2.0协议 安全防护（防止跨站点请求） Session攻击 容易整合SpringMVC使用等 首先感谢教...
Spring Security实战实用
admin1973的专栏
12-28 1927
Spring Security安全框架实战单点登陆
关于springSecurity简易入门使用
u010689849的博客
10-11 398
简介 springSecurity是一个安全框架,基于 Spring 的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在 Spring 应用上下文中配置的 Bean，充分利用了Spring IoC，DI（控制反转 Inversion of Control ,DI:Dependency Injection 依赖注入）和 AOP（面向切面编程）功能，为应用系统提供声明式的安...
为什么越来越多程序员使用SpringSecurity，这些原因你都知道吗？
uuuyy_的博客
12-08 3887
1|2 什么是安全框架 安全框架顾名思义，就是解决系统安全问题的框架。任何应用开发的计划阶段都应该确定一组特定的安全需求，如身份验证、授权和加密方式。不使用安全框架之前，我们需要手动处理每个资源的访问控制，针对不同的项目都需要做不同的处理，此时就会显得非常麻烦，并且低效率引起的额外开销会延缓开发周期。使用安全框架，使开发团队能够选择最适合这些需求的框架，可以通过配置的方式实现对资源的访问限制，使得开发更加的高效。 1|2常用的安全框架 Spring Security: Spring 家族一员，是一个
 基于Spring的MVC模式网上银行系统的设计与实现
01-30
 为确保网上银行交易的信息安全，设计与实现了一个基于Spring的MVC模式网上银行系统（简称OBS，on-line bank system），从软件生命周期（SDLC）和数据库模型设计的角度对网上银行系统的实现过程进行了分析，给...
微信扫一扫登录、微信支付、springsecurity&oauth2
09-26
项目中使用到的技术包含SpringBoot、SpringSecurity&oauth2(安全资源和授权中心模式、包括登录接口自定义返回字段、自定义手机号+密码登录、自定义免密登录)、Queue队列、线程池、xss攻击配置、SpringCache、Mybatis...
Spring&Mybatis&SpringMVC总结笔记-最全最基础.pdf
10-31
这是我搜集的Spring、Mybatis、SpringMVC笔记，结合自己的理解，又进行加工，是一个很不错的SSM入门学习、面试的好资料。建议收藏哦
spring security 比较好的spring security讲解，很新
qq_38362616的博客
05-08 660
该作者还在b站上发布了视频，但是视频只有前四节。可惜了。文章一共有9卷 简书地址如下：https://www.jianshu.com/u/0737e578fbfe b站地址：https://space.bilibili.com/8265121/ ...
SpringSecurity 使用过后的感受
走到无路可退
08-05 826
SpringSecurity 一款权限框架，第一次配置真的是搞毛了。 首先导包 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security<...
Spring Security是什么？（一）
梁老师教你编程序
11-03 681
Spring Security 是 Spring 项目组中用来提供安全认证服务的框架。应该说，Spring Security是使用最多的安全框架。Spring Security使用的目的： 验证，授权，攻击防护。背景：谈论优点的同时，不妨先考虑一下，没有Spring Security我们难道就无法实现认证和授权了吗？肯定不是的，一般涉及到用户授权，我们都会分为用户表、角色表、用户角色表、菜单表、角色菜单表。有这五张表，就算没有Spring Security我们依旧可以完成用户菜单等控制。
spring&nbsp;security+cas&nbsp;中…
ubuntuvim的博客
09-09 726
转至： http://blog.csdn.net/chenyongsuda/article/details/5327059 1. 在session中取得spring security的登录用户名如下 ${session.SPRING_SECURITY_CONTEXT.authentication.principal.username} 2. 在页面端用tag获取 <%@ taglib pr
struts2&nbsp;简单注解配置实现用户登录
ubuntuvim的博客
09-09 613
1. 主要文件 LoginAction.java package com.edu.struts2.action; import org.apache.struts2.convention.annotation.Action; import org.apache.struts2.convention.annotation.Namespace; import org.apache.struts2.co
SSH&nbsp;整合-&nbsp;5&nbsp;-&nbsp;service_serviceImp…
ubuntuvim的博客
09-09 554
1. 工程结构   整合- 5 - service_serviceImpl+dao_daoImpl+struts2" TITLE="SSH 整合- 5 - service_serviceImpl+dao_daoImpl+struts2" />      文件的命名不是很规范，望见谅！！工程所需要的jar包可以用MyEclipse自带的，也可以自行添加，为了防止重复添加。在这
SSH&nbsp;整合-&nbsp;3&nbsp;-&nbsp;add&nbsp;-&nbsp;hibernate
ubuntuvim的博客
09-09 509
1. 流程图   整合- 3 - add - hibernate" TITLE="SSH 整合- 3 - add - hibernate" />   2. 主要文件   整合- 3 - add - hibernate" TITLE="SSH 整合- 3 - add - hibernate" />               你可以直接用Myeclipse把h
SSH&nbsp;整合-&nbsp;6&nbsp;-&nbsp;service_serviceImp…
ubuntuvim的博客
09-09 499
1. 流程图   整合- 6 - service_serviceImpl+dao_daoImpl+struts2+spring_01" TITLE="SSH 整合- 6 - service_serviceImpl+dao_daoImpl+struts2+spring_01" /> 2. 工程结构   整合- 6 - service_serviceImpl+dao_
springcloud集成springsecurity_一分钟带你了解下Spring Security！
最新发布
07-28
Spring Security 是一个开源的安全框架，提供了一套全面的安全解决方案，用于保护 Spring 应用程序。它基于 Java Servlet 规范，并与 Spring 框架无缝集成。 Spring Security 提供了诸如身份验证、授权、会话管理等功能，可以帮助应用程序实现细粒度的访问控制和用户认证。 集成 Spring Security 可以为你的 Spring Cloud 应用程序提供可靠的安全性。以下是一些集成 Spring Security 的步骤： 1. 添加依赖：在项目的 pom.xml 文件中添加 Spring Security 的依赖。 2. 配置安全规则：通过配置类或 XML 文件定义安全规则，例如哪些URL需要受保护、哪些URL允许匿名访问等。 3. 自定义身份验证：你可以使用默认的用户名密码认证方式，也可以自定义认证逻辑，例如使用数据库进行用户认证。 4. 授权管理：定义谁可以访问哪些资源，可以通过角色或权限进行控制。 5. 定制登录页面：可以根据需求定制登录页面，例如添加公司logo、自定义表单字段等。 6. 集成其他安全特性：Spring Security 还提供了其他一些安全特性，例如防止跨站请求伪造（CSRF）、注销功能、记住我功能等，你可以根据需求进行集成。 综上所述，通过集成 Spring Security，你可以为 Spring Cloud 应用程序提供强大的安全性，并自定义其行为以满足特定的需求。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值