springboot【7】安全控制之Spring Security

最新推荐文章于 2023-05-07 10:38:56 发布

JeeLearner

最新推荐文章于 2023-05-07 10:38:56 发布

阅读量1.4k

点赞数 1

分类专栏： ⊹●springboot Spring Boot基础篇文章标签： springboot教程 springboot spring security springboot入门 spring安全控制

本文链接：https://blog.csdn.net/IT_lyd/article/details/76576964

版权

Spring Boot基础篇同时被 2 个专栏收录

36 篇文章 4 订阅

订阅专栏

⊹●springboot

34 篇文章 1 订阅

订阅专栏

在开发Web应用时，经常需要对页面做一些安全控制，比如：对于没有访问权限的用户需要转到登录页面。要实现访问控制的方法多种多样，可以通过AOP、拦截器实现，也可以通过框架实现（如：Apache Shiro、Spring Security）。

本文将介绍在Spring Boot中如何使用Spring Security进行安全控制。

一、准备工作

Web层实现请求映射

com.lyd.web.HelloController.java

package com.lyd.web;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;

@Controller
public class HelloController {

	@RequestMapping("/")
	public String index(){
		return "index";
	}
	
	@RequestMapping(value="/hello")
	public String hello(){
		return "hello";
	}
}

/：映射到index.html
/hello：映射到hello.html

实现映射的页面

src/main/resources/templates/index.html

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org" xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Spring Security入门</title>
    </head>
    <body>
        <h1>欢迎使用Spring Security!</h1>
        <p>点击 <a th:href="@{/hello}">这里</a> 打个招呼吧</p>
    </body>
</html>

src/main/resources/templates/hello.html

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Hello World!</title>
    </head>
    <body>
        <h1>Hello world!</h1>
    </body>
</html>

可以看到在index.html中提供到/hello的链接，显然在这里没有任何安全控制，所以点击链接后就可以直接跳转到hello.html页面。

二、整合Spring Security

需求：对/hello页面进行权限控制，必须是授权用户才能访问。当没有权限的用户访问后，跳转到登录页面。

1.添加依赖

在pom.xml中添加如下配置，引入对Spring Security的依赖。

<dependencies>
    ...
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
    ...
</dependencies>

2.Spring Security配置

创建Spring Security的配置类WebSecurityConfig.java，(与Application.java同级目录)

具体如下：

package com.lyd;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter{

	@Override
	protected void configure(HttpSecurity hs) throws Exception{
		hs
			.authorizeRequests()
				.antMatchers("/","home").permitAll()
				.anyRequest().authenticated()
				.and()
			.formLogin()
				.loginPage("/login")
				.permitAll()
				.and()
			.logout()
				.permitAll();
	}	
	
	@Autowired
	public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception{
		auth
			.inMemoryAuthentication()
				.withUser("user").password("password").roles("USER");
	}
}

通过@EnableWebSecurity注解开启Spring Security的功能
继承WebSecurityConfigurerAdapter，并重写它的方法来设置一些web安全的细节
configure(HttpSecurity http)方法
- 通过authorizeRequests()定义哪些URL需要被保护、哪些不需要被保护。例如以上代码指定了/和/home不需要任何认证就可以访问，其他的路径都必须通过身份验证。
- 通过formLogin()定义当需要用户登录时候，转到的登录页面。
configureGlobal(AuthenticationManagerBuilder auth)方法，在内存中创建了一个用户，该用户的名称为user，密码为password，用户角色为USER。

3.新增登录请求与页面

在完成了Spring Security配置之后，我们还缺少登录的相关内容。

HelloController.java中新增/login请求映射至login.html

@Controller
public class HelloController {
    // 省略之前的内容...
    @RequestMapping("/login")
    public String login() {
        return "login";
    }
}

新增登录页面：src/main/resources/templates/login.html

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml"
      xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Spring Security Example </title>
    </head>
    <body>
        <div th:if="${param.error}">
            用户名或密码错误
        </div>
        <div th:if="${param.logout}">
            您已注销成功
        </div>
        <form th:action="@{/login}" method="post">
            <div><label> 用户名 : <input type="text" name="username"/> </label></div>
            <div><label> 密  码 : <input type="password" name="password"/> </label></div>
            <div><input type="submit" value="登录"/></div>
        </form>
    </body>
</html>

可以看到，实现了一个简单的通过用户名和密码提交到/login的登录方式。

根据配置，Spring Security提供了一个过滤器来拦截请求并验证用户身份。如果用户身份认证失败，页面就重定向到/login?error，并且页面中会展现相应的错误信息。若用户想要注销登录，可以通过访问/login?logout请求，在完成注销之后，页面展现相应的成功消息。

4.业务流程走向

为了让整个过程更完整，在这里修改hello.html，让它输出一些内容，并提供“注销”的链接。

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Hello World!</title>
    </head>
    <body>
        <h1 th:inline="text">Hello [[${#httpServletRequest.remoteUser}]]!</h1>
        <form th:action="@{/logout}" method="post">
            <input type="submit" value="注销"/>
        </form>
    </body>
</html>

（1）启用应用，并访问http://localhost:8080/，可以正常访问。

（2）访问http://localhost:8080/hello的时候被重定向到了http://localhost:8080/login页面，因为没有登录，用户没有访问权限。

（3）通过输入用户名user和密码password进行登录后，跳转到了Hello World页面。

（4）点击注销按钮，就会访问http://localhost:8080/login?logout，就可以完成注销操作。

本文通过一个简单的demo完成了对Web应用的安全控制，Spring Security提供的功能还远不止于此，更多Spring Security的使用可参见Spring Security Reference。

下面是完整项目结构：

JeeLearner

关注

1
点赞
踩
0

收藏

觉得还不错? 一键收藏
1
评论
springboot【7】安全控制之Spring Security

在开发Web应用时，经常需要对页面做一些安全控制，比如：对于没有访问权限的用户需要转到登录页面。要实现访问控制的方法多种多样，可以通过AOP、拦截器实现，也可以通过框架实现（如：Apache Shiro、Spring Security）。本文将介绍在Spring Boot中如何使用Spring Security进行安全控制。准备工作Web层实现请求映射com.lyd.web.Hel
复制链接

扫一扫