SpringSecurity笔记3-Authenticating Users:Authenticaton Strategy

最新推荐文章于 2024-11-17 16:19:23 发布

biyuchenfeng531588

最新推荐文章于 2024-11-17 16:19:23 发布

阅读量161

点赞数

分类专栏： SpringSecurity 文章标签： ldap 数据库 java

本文链接：https://blog.csdn.net/biyuchenfeng531588/article/details/84095018

版权

SpringSecurity 专栏收录该内容

5 篇文章 0 订阅

订阅专栏

每个应用程序在存储用户信息时采取的策略是不同的，可以是数据库，LDAP目录，CAS认证等，SpringSecurity支

持的认证策略有：

      (1)In-memory (Spring-configured) user repositories.
      (2)JDBC-based user repositories.
      (3)LDAP-based user repositories.
      (4)OpenID decentralized user identity systems.
      (5)Central Authentication System (CAS)
      (6)X.509 certificates
      (7)JAAS-based providers

当然也支持用户自定义。

下面的讲解以该配置为基础：

1. 配置基于内存的用户信息Repository

即在Spring配置文件中配置，使用<user-service>元素：

    <user-service id="userService">
           <user name ="habuma" password ="letmein" authorities ="ROLE_SPITTER,ROLE_ADMIN"/>
           <user name="twoqubed" password="longhorns" authorities="ROLE_SPITTER"/>
           <user name="admin" password="admin" authorities="ROLE_ADMIN"/>
    </user-service>

使用<authentication-manager>元素注册认证管理器：

    <authentication-manager alias="authenticationManager">
             <authentication-provider user-service-ref="userService" />
    </authentication-manager>

通过这种方式是注册了一个ProviderManager,认证管理将认证工作委托给一个或多个认证Provider, 此时认证

Provider需要user service 提供User 信息。

与上面配置等价的内嵌式配置(不推荐 )：

    <authentication-provider>
             <user-service id="userService">
                    <user name="habuma" password="letmein" authorities="ROLE_SPITTER,ROLE

                              _ADMIN"/>
             ...
             </user-service>
    </authentication-provider>

2. 配置基于数据库的用户信息Repository

即使用：<jdbc-user-service>元素，使用原理与user-service相同：

<jdbc-user-service id="userService" data-source-ref="dataSource" />

该配置使用data-source-ref属性指定数据源，通过该配置user service查找用户信息的SQL为：

select username,passwd,enabled from users where username = ?

查找用户已经授权的用户SQL：

select username,authority from authorities where username = ?

上面着两条SQL语句需要确保用户信息和授权正好存储在指定的表users和authorities中，而jdbc-user-

service提供了其他的属性用户客制化查找：

(1) users-by-username-query:根据条件用户名查找用户的：username,passwd和enabled状态；

(2) authorities-by-username-query: 根据条件用户名查找用户被授予的权限；

(3) group-authorities-by-username-query:根据用户名查找用户被授予的组权限。

示例：

    <jdbc-user-service id="userService" data-source-ref="dataSource"
            users-by-username-query =
                  "select username, password, true from spitter where username=?"
            authorities-by-username-query =
                  "select username,'ROLE_SPITTER' from spitter where username=?" />

3. 配置基于的用户信息Repository

该配置适合于具有层级目录结构的授权体系。需要首先添加依赖：

    <dependency>
           <groupId>org.springframework.security</groupId>
           <artifactId>spring-security-ldap</artifactId>
           <version>3.0.7.RELEASE</version>
    </dependency>

有两种配置方式：

(1) With an LDAP-oriented authentication provider

(2) With an LDAP-oriented user service

(1) 声明一个LDAP Authentication Provider

    <authentication-manager alias="authenticationManager">
            <ldap-authentication-provider user-search-filter="(uid={0})"
             group-search-filter="member={0}"/>
    </authentication-manager>

该配置中user-search-filter 和 group-search-filter属性用于提供一个过滤器，用与在基于LDAP查询用户和

组信息时，默认情况下该查找是从LDAP的Root开始查找，下面的配置可以指定query base：

    <ldap-user-service id="userService"
            user-search-base="ou=people"
            user-search-filter="(uid={0})"
            group-search-base="ou=groups"
            group-search-filter="member={0}" />

该配置中指定查找用户的组织从"people"开始，查找组织从"groups"开始。

(2) 配置一个Passwdor Comparison

默认的进行LDAP认证策略是执行一个bind操作，直接与LDAP Server交互认证；另一种做法是执行一个

Comparison操作，这种方式是将密码发送至LDAP服务器，要求服务器进行密码比对，需要保证密码安全：

    <ldap-authentication-provider
            user-search-filter="(uid={0})"
            group-search-filter="member={0}">
            <password-compare />
    </ldap-authentication-provider>

该配置默认需要登录表单中有userPassword属性，如果Password定义在不同的属性中，可配置成：

<password-compare hash="md5" password-attribute="passcode" />

配置中hash="md5"指定了密码的加密策略，默认支持的策略有：

{sha}，{ssha}，md4，md5，plaintext，sha，sha-256

(3) 声明一个LDAP User Service

(4)配置一个内嵌的LDAP Server

默认情况下，SpringSecurity LDAP 认证家丁LDAP Server监听的端口为33389 on localhost, 如果要自定义

在其他的机器上，需使用<ldap-server>元素：

<ldap-server url="ldap://habuma.com:389/dc=habuma,dc=com" />

内嵌的配置：

<ldap-server root="dc=habuma,dc=com" />

其中root是可选的，默认是"dc=springframework,dc=org"，当然也可自己定义。

<ldap-server root="dc=habuma,dc=com" ldif="classpath:users.ldif" />

在上述这个配置中，将从classpath中查找所有LDIF文件，若要明确指定需使用ldif属性。

示例LDIF file：

    dn: ou=groups,dc=habuma,dc=com
    objectclass: top
    objectclass: organizationalUnit

ou: groups

    dn: ou=people,dc=habuma,dc=com
    objectclass: top
    objectclass: organizationalUnit
    ou: people

    dn: uid=habuma,ou=people,dc=habuma,dc=com
    objectclass: top
    objectclass: person
    objectclass: organizationalPerson
    objectclass: inetOrgPerson
    cn: Craig Walls
    sn: Walls
    uid: habuma
    userPassword: password

    dn: uid=jsmith,ou=people,dc=habuma,dc=com
    objectclass: top
    objectclass: person
    objectclass: organizationalPerson
    objectclass: inetOrgPerson
    cn: John Smith
    sn: Smith
    uid: jsmith
    userPassword: password

    dn: cn=spitter,ou=groups,dc=habuma,dc=com
    objectclass: top
    objectclass: groupOfNames
    cn: spitter
    member: uid=habuma,ou=people,dc=habuma,dc=com

4. 启用Remember-ME功能

需在<http>元素中使用<remember-me>元素：

            ...
            <remember-me key="spitterKey" token-validity-seconds="2419200" />
    </http>

如果不指定token-validity-seconds="2419200"，默认情况下在cookie中存储有效信息2周，指定该信息后将

有效期改为4周。存储在Cookie中的数据包括username,password, expiration date,private key,这些数据

在存储前均已经被MD5编码，默认的可以是：SpringSecured"，此出自定义为"spitterKey". 使用该功能需要在

Form 中增加属性：_spring_security_remember_me：

<input id="remember_me" name="_spring_security_remember_me " type="checkbox"/>
<label for="remember_me" class="inline">Remember me</label>.