Spring Security3.1登陆验证(转)

最新推荐文章于 2019-03-06 14:00:27 发布
最新推荐文章于 2019-03-06 14:00:27 发布
阅读量300 收藏
点赞数
分类专栏： spring 文章标签： spring security

声明：本文是转载的，用来学习用，还望原著见谅原著地址
一、前言
在上一篇http://blog.csdn.net/k10509806/archive/2011/04/28/6369131.aspx文章中，提到的MyUserDetailServiceImpl获取用户权限，在用户没有登陆的时候，Spring Security会让我们自动跳转到默认的登陆界面，但在实际应用绝大多数是用我们自己的登陆界面的，其中就包括一些我们自己的逻辑，比如验证码。所以本人又研究一下，终于摸清了一些如何配置自己的登陆界面的办法。在这里献丑了。
二、Spring Security的过滤器
通过DEBUG可以看到Spring Security的Filter的顺序
Security filter chain: [
ConcurrentSessionFilter
SecurityContextPersistenceFilter
LogoutFilter
MyUsernamePasswordAuthenticationFilter
RequestCacheAwareFilter
SecurityContextHolderAwareRequestFilter
RememberMeAuthenticationFilter
AnonymousAuthenticationFilter
SessionManagementFilter
ExceptionTranslationFilter
MySecurityFilter
FilterSecurityInterceptor
]
Spring Security的登陆验证用的就是MyUsernamePasswordAuthenticationFilter，所以要实现我们自己的验证，可以写一个类并继承MyUsernamePasswordAuthenticationFilter类，重写attemptAuthentication方法。

三、applicationContext-Security.xml配置

<?xml version="1.0" encoding="UTF-8"?>  
<beans:beans xmlns="http://www.springframework.org/schema/security"  
    xmlns:beans="http://www.springframework.org/schema/beans"  
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"  
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.0.xsd  
                        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.1.xsd">  

    <debug/>        
    <http pattern="/js/**" security="none"/>  
    <http pattern="/resource/**" security="none"></http>  
    <http pattern="/login.jsp" security="none"/>  

    <http use-expressions="true" entry-point-ref="authenticationProcessingFilterEntryPoint">  
        <logout/>  
        <!-- 实现免登陆验证 -->  
        <remember-me />  
        <session-management invalid-session-url="/timeout.jsp">  
            <concurrency-control max-sessions="10" error-if-maximum-exceeded="true" />  
        </session-management>  

        <custom-filter ref="loginFilter" position="FORM_LOGIN_FILTER"  />  
        <custom-filter ref="securityFilter" before="FILTER_SECURITY_INTERCEPTOR"/>  
    </http>  

    <!-- 登录验证器 -->  
    <beans:bean id="loginFilter"  
        class="com.huaxin.security.MyUsernamePasswordAuthenticationFilter">  
        <!-- 处理登录的action -->  
        <beans:property name="filterProcessesUrl" value="/j_spring_security_check"></beans:property>  
                <!-- 验证成功后的处理-->  
        <beans:property name="authenticationSuccessHandler" ref="loginLogAuthenticationSuccessHandler"></beans:property>  
                <!-- 验证失败后的处理-->  
        <beans:property name="authenticationFailureHandler" ref="simpleUrlAuthenticationFailureHandler"></beans:property>  
        <beans:property name="authenticationManager" ref="myAuthenticationManager"></beans:property>  
        <!-- 注入DAO为了查询相应的用户 -->  
        <beans:property name="usersDao" ref="usersDao"></beans:property>  
    </beans:bean>  
    <beans:bean id="loginLogAuthenticationSuccessHandler"  
        class="org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler">  
        <beans:property name="defaultTargetUrl" value="/index.jsp"></beans:property>  
    </beans:bean>  
    <beans:bean id="simpleUrlAuthenticationFailureHandler"  
        class="org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler">  
        <!-- 可以配置相应的跳转方式。属性forwardToDestination为true采用forward false为sendRedirect -->  
        <beans:property name="defaultFailureUrl" value="/login.jsp"></beans:property>  
    </beans:bean>  

    <!-- 认证过滤器 -->  
    <beans:bean id="securityFilter" class="com.huaxin.security.MySecurityFilter">  
        <!-- 用户拥有的权限 -->  
        <beans:property name="authenticationManager" ref="myAuthenticationManager" />  
        <!-- 用户是否拥有所请求资源的权限 -->  
        <beans:property name="accessDecisionManager" ref="myAccessDecisionManager" />  
        <!-- 资源与权限对应关系 -->  
        <beans:property name="securityMetadataSource" ref="mySecurityMetadataSource" />  
    </beans:bean>  
    <!-- 实现了UserDetailsService的Bean -->  
    <authentication-manager alias="myAuthenticationManager">  
        <authentication-provider user-service-ref="myUserDetailServiceImpl" />  
    </authentication-manager>  

    <beans:bean id="myAccessDecisionManager" class="com.huaxin.security.MyAccessDecisionManager"></beans:bean>  
    <beans:bean id="mySecurityMetadataSource" class="com.huaxin.security.MySecurityMetadataSource">  
        <beans:constructor-arg name="resourcesDao" ref="resourcesDao"></beans:constructor-arg>  
    </beans:bean>  
    <beans:bean id="myUserDetailServiceImpl" class="com.huaxin.security.MyUserDetailServiceImpl">  
        <beans:property name="usersDao" ref="usersDao"></beans:property>  
    </beans:bean>  

    <!-- 未登录的切入点 -->  
    <beans:bean id="authenticationProcessingFilterEntryPoint" class="org.springframework.security.web.authentication.LoginUrlAuthenticationEntryPoint">  
        <beans:property name="loginFormUrl" value="/login.jsp"></beans:property>  
    </beans:bean>  
</beans:beans>

这里特别要说明一下，我们的标签不能配置auto-config，因为这样配置后，依然会采用Spring Security的Filter Chain会与下面我们配的custom-filter冲突，最好会抛异常。还有配置一个切入点entry-point-ref=”authenticationProcessingFilterEntryPoint”，为了在未登陆的时候，跳转到哪个页面，不配也会抛异常。
position表示替换掉Spring Security原来默认的登陆验证Filter。

四、MyUsernamePasswordAuthenticationFilter

package com.huaxin.security;  

import javax.servlet.http.HttpServletRequest;  
import javax.servlet.http.HttpServletResponse;  
import javax.servlet.http.HttpSession;  

import org.apache.commons.lang.xwork.StringUtils;  
import org.springframework.security.authentication.AuthenticationServiceException;  
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;  
import org.springframework.security.core.Authentication;  
import org.springframework.security.core.AuthenticationException;  
import org.springframework.security.web.WebAttributes;  
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;  

import com.huaxin.bean.Users;  
import com.huaxin.dao.UsersDao;  

/* 
 *  
 * UsernamePasswordAuthenticationFilter源码 
    attemptAuthentication 
        this.getAuthenticationManager() 
            ProviderManager.java 
                authenticate(UsernamePasswordAuthenticationToken authRequest) 
                    AbstractUserDetailsAuthenticationProvider.java 
                        authenticate(Authentication authentication) 
                            P155 user = retrieveUser(username, (UsernamePasswordAuthenticationToken) authentication); 
                                DaoAuthenticationProvider.java 
                                    P86 loadUserByUsername 
 */  
public class MyUsernamePasswordAuthenticationFilter extends UsernamePasswordAuthenticationFilter{  
    public static final String VALIDATE_CODE = "validateCode";  
    public static final String USERNAME = "username";  
    public static final String PASSWORD = "password";  

    private UsersDao usersDao;  
    public UsersDao getUsersDao() {  
        return usersDao;  
    }  
    public void setUsersDao(UsersDao usersDao) {  
        this.usersDao = usersDao;  
    }  

    @Override  
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {  
        if (!request.getMethod().equals("POST")) {  
            throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod());  
        }  
        //检测验证码  
        checkValidateCode(request);  

        String username = obtainUsername(request);  
        String password = obtainPassword(request);  

        //验证用户账号与密码是否对应  
        username = username.trim();  

        Users users = this.usersDao.findByName(username);  

        if(users == null || !users.getPassword().equals(password)) {  
    /* 
              在我们配置的simpleUrlAuthenticationFailureHandler处理登录失败的处理类在这么一段 
        这样我们可以在登录失败后，向用户提供相应的信息。 
        if (forwardToDestination) { 
            request.setAttribute(WebAttributes.AUTHENTICATION_EXCEPTION, exception); 
        } else { 
            HttpSession session = request.getSession(false); 

            if (session != null || allowSessionCreation) { 
                request.getSession().setAttribute(WebAttributes.AUTHENTICATION_EXCEPTION, exception); 
            } 
        } 
     */  
            throw new AuthenticationServiceException("用户名或者密码错误！");   
        }  

        //UsernamePasswordAuthenticationToken实现 Authentication  
        UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(username, password);  
        // Place the last username attempted into HttpSession for views  

        // 允许子类设置详细属性  
        setDetails(request, authRequest);  

        // 运行UserDetailsService的loadUserByUsername 再次封装Authentication  
        return this.getAuthenticationManager().authenticate(authRequest);  
    }  

    protected void checkValidateCode(HttpServletRequest request) {   
        HttpSession session = request.getSession();  

        String sessionValidateCode = obtainSessionValidateCode(session);   
        //让上一次的验证码失效  
        session.setAttribute(VALIDATE_CODE, null);  
        String validateCodeParameter = obtainValidateCodeParameter(request);    
        if (StringUtils.isEmpty(validateCodeParameter) || !sessionValidateCode.equalsIgnoreCase(validateCodeParameter)) {    
            throw new AuthenticationServiceException("验证码错误！");    
        }    
    }  

    private String obtainValidateCodeParameter(HttpServletRequest request) {  
        Object obj = request.getParameter(VALIDATE_CODE);  
        return null == obj ? "" : obj.toString();  
    }  

    protected String obtainSessionValidateCode(HttpSession session) {  
        Object obj = session.getAttribute(VALIDATE_CODE);  
        return null == obj ? "" : obj.toString();  
    }  

    @Override  
    protected String obtainUsername(HttpServletRequest request) {  
        Object obj = request.getParameter(USERNAME);  
        return null == obj ? "" : obj.toString();  
    }  

    @Override  
    protected String obtainPassword(HttpServletRequest request) {  
        Object obj = request.getParameter(PASSWORD);  
        return null == obj ? "" : obj.toString();  
    }  


}

有时间，大家看看源码吧。
五、login.jsp

body>  
  <span style="color:red"><%=session.getAttribute(WebAttributes.AUTHENTICATION_EXCEPTION) %></span>  
   <form action="j_spring_security_check" method="post">  
    Account：<Input name="username"/><br/>  
    Password：<input name="password" type="password"/><br/>  
    <input value="submit" type="submit"/>  
   </form>  
 </body>

六、完了，源码大家可以看下我上一篇文章http://blog.csdn.net/k10509806/archive/2011/04/28/6369131.aspx。

cc_yy_zh
关注
专栏目录
怎么spring security 和maven，spring,结合jar包冲突和依赖关系问题解决办法。
淘宝王的专栏
08-01 7704
Eclipse IDE开发工具           spring security 和maven，spring,发生jar包冲突和依赖关系问题怎么办： 1：首先用maven命令对项目进行项目转化，（下载jar包）     mvn eclipse:eclipse -Dwtpversion=2.0 运行后再执行     mvn clean install -Dmaven.skip.test=
springboot +　jdk6：Unsupported major.minor version 51.0
世界在变，而我心不变。
07-05 5574
官方文档： How to use Java 6 If you want to use Spring Boot with Java 6 there are a small number of configuration changes that you will have to make. The exact changes depend on your application’s f
统一安全认证（基于Spring Security 3）
09-21
Java语言开发的统一角色访问控制系统(Unified Role Access Control System)，基于Spring Security 3实现的权限控制系统 程序框架版本说明：Spring MVC 3.0.6 + Spring Security 3.1.3 + Hibernate 3.6.10 运行演示例子： 例子使用的是MySQL数据库，也可以支持其它数据库 使用 CreateDb_MySQL.sql 创建好数据库，然后将 URACS.Web.war 部署到 Tomcat下 数据库连接默认使用root用户，密码123456（可修改 jdbc-app.properties 文件） 启动Tomcat,访问 http://127.0.0.1:8080/URACS.Web 可使用超级用户 admin，密码 admin 登录 开发者：李锡远 人称：远哥 博客：http://taven.cnblogs.com 开源地址：https://github.com/tavenli/URACS QQ:17020415
Spring Security 3.1自定义登录
yhhazr的专栏
03-02 8569
在上一章中写了 Spring Security 3.1的配置与使用。但是研究过 Spring Security 的都知道， Spring Security的登录认证是做得比较死的，我们在登录页面只能提交到j_spring_security_check进行登录认证。接下来就是我们如何自定义登录认证，输入完用户名、密码、验证码等之后提交到我们自定义的地址进行验证（如struts2的action） 只
springsecurity3.1登录
Java地摊
09-04 101
第一步，配置文件   &lt;?xml version="1.0" encoding="UTF-8"?&gt; &lt;beans:beans xmlns="http://www.springframework.org/schema/security" xmlns:beans="http://www.springframework.org/schema/beans" xm...
Spring Security3.1 最新配置实例
aheadkeeper的专栏
03-06 153
https://blog.csdn.net/k10509806/article/details/6369131
spring_security_3.1
09-14
5. **CSRF（跨站请求伪造）防护**：Spring Security 3.1默认提供了对CSRF攻击的防护，通过生成和验证CSRF令牌来确保只有合法的请求被处理。 6. **Remember Me服务**：此特性允许用户在一段时间内无需重新登录。...
spring security 3.1 配置登陆页面
08-04
在Spring Security 3.1版本中，配置登录页面是实现用户身份验证的关键步骤。本文将深入探讨如何配置自定义的登录页面，以及相关的核心概念和技术。 首先，我们需要理解Spring Security的基本架构。它由一系列拦截器...
Spring Security 3.1 配置实例,有URL 方法拦截，都存数据库 maven
04-05
Spring Security允许我们定义哪些URL路径需要用户进行身份验证才能访问。这通常通过在`web.xml`中配置`<http>`元素来实现。例如： ```xml **" access="ROLE_ADMIN" /> **" access="ROLE_USER, ROLE_ADMIN" /> ...
Spring Security3.1实践
04-09
《Spring Security 3.1 实践》 Spring Security 是一个强大的、高度可定制的身份验证和访问控制框架，广泛应用于Java企业级应用中。在Spring Security 3.1版本中，它提供了一套全面的安全解决方案，涵盖了从用户...
第九篇：Spring的applicationContext.xml配置总结
weixin_30374009的博客
10-20 153
在前面的一篇日志中，记录了web.xml配置启动的顺序，web启动到监听器ContextLoaderListener时，开始加载spring的配置文件applicationContext.xml（通常就叫这个名字），在查询大量资料之后决心将该文件详细的配置说明和讲解记录下来，以供查阅，加深原理的理解。 首先是spring的各类命名空间和xml声明： <?xml ver...
Spring Security3.1登陆验证
wangqiaowqo的专栏
11-26 186
http://blog.csdn.net/k10509806/article/details/6369131
Spring Security3.1 笔记
wangqiaowqo的专栏
11-27 117
1、 [code="java"] 2.1.1. 命名空间的设计 命名空间被用来设计成，处理框架内最常见的功能，提供一个简化和简洁的语法，使他们在一个应用程序里。 这种设计是基于框架内的大型依赖，可以分割成下面这些部分： Web/HTTP安全 - 最复杂的部分。设置过滤器和相关的服务bean来应用框架验证机制， 保护URL，渲染登录和错误页面还有更多。 业务类（方法）安全 - 可...
spring security 启动报错
云智禅师的专栏
12-19 1602
十二月 19, 2017 1:43:55 上午 org.apache.tomcat.util.digester.SetPropertiesRule begin 警告: [SetPropertiesRule]{Server/Service/Engine/Host/Context} Setting property 'source' to 'org.eclipse.jst.jee.server:se
Spring Security教程（13）---- 验证码功能的实现
z69183787的专栏
03-16 5241
有三中方法可以实现验证码的功能 第一种是自定义一个filter，放在SpringSecurity过滤器之前，在用户登录的时候会先经过这个filter，然后在这个filter中实现对验证码进行验证的功能，这种方法不推荐，因为它已经脱离了SpringSecurity 第二种是自定义一个filter让它继承自UsernamePasswordAuthenticationFilter，然后重写a
Java类中加载Spring中的ApplicationContext.xml文件的方式
享受学习的过程
06-10 888
1>、利用ClassPathXmlApplicationContext,可以从classpath中读取XML文件   //读取一个文件    1. ApplicationContext context= new ClassPathXmlApplicationContext("applicationContext.xml");    UserDAO userDAO= (UserDAO )con
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值