Spring Security Taglibs 简介

最新推荐文章于 2023-02-16 11:57:02 发布

allway2

最新推荐文章于 2023-02-16 11:57:02 发布

阅读量799

点赞数

文章标签： spring java 后端

本文链接：https://blog.csdn.net/allway2/article/details/126031632

版权

1.概述

在本教程中，我们将了解Spring Security Taglibs，它为访问安全信息和在 JSP 中应用安全约束提供基本支持。

2.Maven依赖

首先，让我们将spring-security-taglibs 依赖添加到我们的pom.xml中：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-taglibs</artifactId>
    <version>5.2.2.RELEASE</version>
</dependency>

3. 声明标签库

现在，在我们可以使用标签之前，我们需要在 JSP 文件的顶部导入标签库：

<%@ taglib prefix="sec" uri="http://www.springframework.org/security/tags" %>

添加后，我们将能够使用 sec 前缀指定 Spring Security 的标签。

4.授权标签

4.1。访问表达式

在我们的应用程序中，我们可能拥有只应为某些角色或用户显示的信息。

在这种情况下，我们可以使用授权标签：

<sec:authorize access="!isAuthenticated()">
  Login
</sec:authorize>
<sec:authorize access="isAuthenticated()">
  Logout
</sec:authorize>

此外，我们可以检查经过身份验证的用户是否具有特定角色：

<sec:authorize access="hasRole('ADMIN')">
    Manage Users
</sec:authorize>

我们可以使用任何Spring Security 表达式作为我们的访问值：

hasAnyRole('ADMIN','USER')如果当前用户具有任何列出的角色，则返回true
如果当前主体是匿名用户，isAnonymous()返回true
如果当前主体是记住我的用户，isRememberMe()返回true
isFullyAuthenticated()如果用户经过身份验证并且既不是匿名用户也不是记住我的用户，则返回true

4.2. 网址

除此之外，我们可以检查被授权向特定 URL 发送请求的用户：

<sec:authorize url="/userManagement">
    <a href="/userManagement">Manage Users</a>
</sec:authorize>

4.3. 调试

在某些情况下，我们可能希望对 UI 进行更多控制，例如在测试场景中。我们可以在application.properties文件中设置spring.security.disableUISecurity = true ，而不是让 Spring Security 跳过渲染这些未经授权的部分。

当我们这样做时，授权标签不会隐藏它的内容。相反，它将使用<span class=”securityHiddenUI”>... </span>标签来包装内容。然后，我们可以使用一些 CSS 自定义渲染。

请记住，尽管通过 CSS 隐藏内容并不安全！ 用户可以简单地查看源以查看未经授权的内容。

5.认证标签

在其他时候，我们会想要显示登录用户的详细信息，比如说“欢迎回来，卡罗尔！” 在网站上。

为此，我们使用身份验证 标签：

<sec:authorize access="isAuthenticated()">
    Welcome Back, <sec:authentication property="name"/>
</sec:authorize>

**6. csrfInput标签**

希望我们在我们的应用程序中启用了 Spring Security 的 CSRF 防御！

如果我们这样做了，那么 Spring Security 已经为我们在<form:form>标签内插入了一个 CSRF 隐藏表单输入。

但是如果我们想使用<form>代替，我们可以使用csrfInput手动指示 Spring Security 应该将这个隐藏的输入字段放置在哪里：

<form method="post" action="/do/something">
    <sec:csrfInput />
    Text Field:<br />
    <input type="text" name="textField" />
</form>

如果未启用 CSRF 保护，则此标签不输出任何内容。

**7. csrfMetaTags标签**

或者，如果我们想在 Javascript 中访问 CSRF 令牌，我们可能希望将令牌作为元标记插入。

我们可以使用csrfMetaTags 标签来做到这一点：

<html>
    <head>
        <title>JavaScript with CSRF Protection</title>
        <sec:csrfMetaTags />
        <script type="text/javascript" language="javascript">
            var csrfParameter = $("meta[name='_csrf_parameter']").attr("content");
            var csrfHeader = $("meta[name='_csrf_header']").attr("content");
            var csrfToken = $("meta[name='_csrf']").attr("content");
        </script>
    </head>
    <body>
    ...
    </body>
</html>