SpringSecurity中文文档—Authentication— Reading Username/Password

已于 2022-03-06 10:15:50 修改
阅读量1.4k 收藏 4
点赞数
分类专栏： SpringSecurity Java Spring 文章标签： java spring
于 2022-03-06 00:23:04 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/du87680258/article/details/123250031
版权
Java 同时被 3 个专栏收录
16 篇文章 0 订阅
订阅专栏
Spring
8 篇文章 1 订阅
订阅专栏
SpringSecurity
6 篇文章 1 订阅
订阅专栏

文章目录


验证用户身份最常见的方法之一是验证用户名和密码。因此，Spring Security为使用用户名和密码进行身份验证提供了全面的支持。Spring Security为从HttpServletRequest读取用户名和密码提供了三种内置机制：Form、Basic、Digest。

Form Login

Spring Security支持通过html表单提供用户名和密码。本节详细介绍了基于表单的身份验证如何在Spring Security中工作。
让我们看看Spring Security中基于表单的登录是如何工作的。首先，我们看到用户是如何重定向到登录表单的。
在这里插入图片描述
该图构建了我们的SpringSecurityFilterChain图：

  1. 首先，用户向未经授权的资源/私有资源发出未经验证的请求。
  2. Spring Security的FilterSecurityInterceptor通过抛出AccessDeniedException指示未经验证的请求被拒绝。
  3. 由于用户未经身份验证，ExceptionTranslationFilter启动启动身份验证，并使用配置的AuthenticationEntryPoint向登录页面发送重定向。在大多数情况下，AuthenticationEntryPoint是LoginUrauThenticationEntryPoint的一个实例。
  4. 浏览器将请求重定向到的登录页面。

加载登录页面，提交用户名和密码时，UsernamePasswordAuthenticationFilter会对用户名和密码进行身份验证。UsernamePasswordAuthenticationFilter扩展了AbstractAuthenticationProcessingFilter，所以看起来应该是这个图：
在这里插入图片描述

  • 当用户提交用户名和密码时，UsernamePasswordAuthenticationFilter会创建一个UsernamePasswordAuthenticationToken，这是一种通过从HttpServletRequest中提取用户名和密码进行身份验证的类型。
  • 接下来，UsernamePasswordAuthenticationToken被传递到AuthenticationManager进行身份验证。AuthenticationManager认证细节取决于用户信息的存储方式。
  • 如果身份验证失败，则：
    （1）SecurityContextHolder被清除。
    （2）调用RememberMeServices.loginFail，如果“remember me”未配置，则不需要操作。
    （3）调用AuthenticationFailureHandler。
  • 如果身份验证成功，则：
    （1）SessionAuthenticationStrategy会收到新登录的通知。
    （2）将Authentication设置到SecurityContextHolder。
    （3）调用RememberMeServices.loginSuccess ，如果“remember me”未配置，则不需要操作。
    （4）ApplicationEventPublisher发布一个InteractiveAuthenticationSuccessEvent。
    （5）调用AuthenticationSuccessHandler。通常这是一个SimpleRuthenticationSuccessHandler，当我们重定向到登录页面时，它将重定向到ExceptionTranslationFilter保存的请求。
    默认情况下启用Spring安全表单登录。然而一旦提供了任何基于servlet的配置，就必须显式地提供登录表单。下面可以找到一个最小的显式Java配置：
protected void configure(HttpSecurity http) {
	http
		// ...
		.formLogin(withDefaults());
}

在此配置中，Spring Security将呈现一个默认的登录页面。大多数生产应用程序都需要自定义登录表单。下面的配置演示了如何提供自定义登录表单:

protected void configure(HttpSecurity http) throws Exception {
	http
		// ...
		.formLogin(form -> form
			.loginPage("/login")
			.permitAll()
		);
}

当在SpringSecurity中指定登录页面时，您负责呈现该页面。下面是一个Thymeleaf模板，它生成一个HTML登录表单，该表单符合/login的登录页面：

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org">
	<head>
		<title>Please Log In</title>
	</head>
	<body>
		<h1>Please Log In</h1>
		<div th:if="${param.error}">
			Invalid username and password.</div>
		<div th:if="${param.logout}">
			You have been logged out.</div>
		<form th:action="@{/login}" method="post">
			<div>
			<input type="text" name="username" placeholder="Username"/>
			</div>
			<div>
			<input type="password" name="password" placeholder="Password"/>
			</div>
			<input type="submit" value="Log in" />
		</form>
	</body>
</html>

关于默认HTML表单，有几个关键点：

  • 表单应该使用post 调用/login接口
  • 表单需要包含一个CSRF令牌，该令牌由Thymeleaf自动包含。
  • 表单应该在名为username的参数中指定用户名
  • 表单应在名为password的参数中指定密码
  • 如果发现HTTP参数错误，则表示用户未能提供有效的用户名/密码 如果找到HTTP参数logout，则表示用户已成功注销。

许多用户只需定制登录页面即可。但是，如果需要，可以通过其他配置定制上述所有内容。

Basic Authentication

本节详细介绍了Spring Security如何为基于servlet的应用程序提供基本HTTP身份验证支持。
让我们看看HTTP基本身份验证在Spring Security中是如何工作的。首先，我们看到WWW Authenticate头被发送回未经身份验证的客户端。
在这里插入图片描述

  1. 首先，用户向未经授权的资源/私有资源发出未经验证的请求。
  2. Spring Security的FilterSecurity Interceptor通过抛出AccessDeniedException指示未经验证的请求被拒绝。
  3. 由于用户未经身份验证，ExceptionTranslationFilter会启动启动身份验证。配置的AuthenticationEntryPoint是BasicAuthenticationEntryPoint的一个实例，它发送一个WWW Authentication头。RequestCache通常是不保存请求的NullRequestCache，因为客户端能够重放它最初的请求。

当客户端收到WWW Authenticate标头时，它知道应该使用用户名和密码重试。下面是正在处理的用户名和密码的流程：
在这里插入图片描述

  1. 当用户提交用户名和密码时，BasicAuthenticationFilter会创建一个UsernamePasswordAuthenticationToken，这是一种通过从HttpServlet请求中提取用户名和密码进行身份验证的类型。
  2. 其次，UsernamePasswordAuthenticationToken被传递到AuthenticationManager进行身份验证。AuthenticationManager认证的细节取决于用户信息的存储方式。
  3. 如果身份验证失败，则：
    （1）SecurityContextHolder被清除。
    （2）调用RememberMeServices.loginFail，如果“remember me”未配置，则不需要操作。
    （3）AuthenticationEntryPoint被调用以触发再次发送WWW身份验证。
  4. 如果身份验证成功，则：
    （1）将Authentication设置到SecurityContextHolder。
    （2）调用RememberMeServices.loginSuccess ，如果“remember me”未配置，则不需要操作。
    （3）BasicAuthenticationFilter调用FilterChain.doFilter(request,response) 继续应用程序逻辑的其余部分。

默认情况下，Spring Security在中的HTTP基本身份验证支持处于启用状态。然而，一旦提供了任何基于servlet的配置，就必须显式地提供HTTP Basic。下面可以找到一个最小的显式配置：

protected void configure(HttpSecurity http) {
	http
		// ...
		.httpBasic(withDefaults());
}

Digest Authentication

本节详细介绍了Spring Security如何支持DigestAuthenticationFilter提供的Digest Authentication。
警告：您不应该在现在的应用程序中使用Digest Authentication，因为它被认为是不安全的。最明显的问题是，您必须以明文、加密或MD5格式存储密码。所有这些存储格式都被认为是不安全的。相反，您应该使用Digest Authentication不支持的单向自适应密码哈希（即bCrypt、PBKDF2、SCrypt等）存储凭据。
Digest Authentication试图解决Basic Authentication的许多弱点，特别是通过确保credentials永远不会以明文形式通过网络发送。许多浏览器支持摘要身份验证。
管理HTTP Digest Authentication的标准由RFC 2617定义，它更新了RFC 2069规定的摘要认证标准的早期版本。大多数用户实现RFC2617.大多数用户代理实现RFC2617。Spring Security的Digest Authentication支持与RFC 2617规定的"auth” quality of protection (qop) 兼容，它还提供了与RFC 2069的向后兼容性。如果您需要使用未加密的HTTP（即无TLS/HTTPS）并希望最大限度地提高身份验证过程的安全性，则Digest Authentication被视为一个更具吸引力的选项。然而，每个人都应该使用HTTPS。
Digest Authentication的核心是“nonce(随机数)”。这是服务器生成的值。Spring Security的nonce采用以下格式：

base64(expirationTime + ":" + md5Hex(expirationTime + ":" + key))
expirationTime:   The date and time when the nonce expires, expressed in milliseconds
key:              A private key to prevent modification of the nonce token

您需要确保使用NoOpPasswordEncoder配置纯文本密码存储。下面提供了使用Java配置配置摘要身份验证的示例：

@Autowired
UserDetailsService userDetailsService;

DigestAuthenticationEntryPoint entryPoint() {
	DigestAuthenticationEntryPoint result = new DigestAuthenticationEntryPoint();
	result.setRealmName("My App Relam");
	result.setKey("3028472b-da34-4501-bfd8-a355c42bdf92");
}

DigestAuthenticationFilter digestAuthenticationFilter() {
	DigestAuthenticationFilter result = new DigestAuthenticationFilter();
	result.setUserDetailsService(userDetailsService);
	result.setAuthenticationEntryPoint(entryPoint());
}

protected void configure(HttpSecurity http) throws Exception {
	http
		// ...
		.exceptionHandling(e -> e.authenticationEntryPoint(authenticationEntryPoint()))
		.addFilterBefore(digestFilter());
}

Password Storage

每种读取用户名和密码的机制都可以找到对应的支持：

  • Simple Storage with In-Memory Authentication
  • Relational Databases with JDBC Authentication
  • Custom data stores with UserDetailsService
  • LDAP storage with LDAP Authentication

In-Memory Authentication

Spring Security的InMemoryUserDetailsManager实现UserDetailsService，为存储在内存中的基于用户名/密码的身份验证提供支持。InMemoryUserDetailsManager通过实现UserDetailsManager接口提供对UserDetails的管理。当Spring Security配置为接受用户名/密码进行身份验证时，会使用基于UserDetails的身份验证。
这个示例中，我们使用Spring Boot对password的密码进行编码，并获取password的编码密码{bcrypt}$2a 10 10 10GRLdNijSQMUvl/au9ofL.eDwmoohzzS7.rmNSJZ.0FxO/BTk76klW.

@Bean
public UserDetailsService users() {
	UserDetails user = User.builder()
		.username("user")
		.password("{bcrypt}$2a$10$GRLdNijSQMUvl/au9ofL.eDwmoohzzS7.rmNSJZ.0FxO/BTk76klW")
		.roles("USER")
		.build();
	UserDetails admin = User.builder()
		.username("admin")
		.password("{bcrypt}$2a$10$GRLdNijSQMUvl/au9ofL.eDwmoohzzS7.rmNSJZ.0FxO/BTk76klW")
		.roles("USER", "ADMIN")
		.build();
	return new InMemoryUserDetailsManager(user, admin);
}

上面的示例以安全的格式存储密码，但在入门体验方面还有很多需要改进的地方。在下面的示例中，我们利用了用户。使用DefaultPasswordEncoder确保存储在内存中的密码受到保护。但是，它不能防止通过反编译源代码获得密码。因此，用户。withDefaultPasswordEncoder应仅用于“入门”，不用于生产。

@Bean
public UserDetailsService users() {
	// The builder will ensure the passwords are encoded before saving in memory
	UserBuilder users = User.withDefaultPasswordEncoder();
	UserDetails user = users
		.username("user")
		.password("password")
		.roles("USER")
		.build();
	UserDetails admin = users
		.username("admin")
		.password("password")
		.roles("USER", "ADMIN")
		.build();
	return new InMemoryUserDetailsManager(user, admin);
}

没有基于XML配置简便使用User.withDefaultPasswordEncoder的方式。对于演示或刚刚开始，您可以选择在密码前面加上{noop}以指示不应使用编码。

<user-service>
	<user name="user"
		password="{noop}password"
		authorities="ROLE_USER" />
	<user name="admin"
		password="{noop}password"
		authorities="ROLE_USER,ROLE_ADMIN" />
</user-service>

JDBC Authentication

Spring Security的JdbcDaoImpl实现UserDetailsService，为使用JDBC检索的基于用户名/密码的身份验证提供支持。JdbcUserDetailsManager扩展了JdbcDaoImpl，通过UserDetailsManager接口提供对UserDetails的管理。当Spring Security配置为接受用户名/密码进行身份验证时，会使用基于UserDetails的身份验证。
下面我们将要讨论：

  • Spring Security JDBC Authentication使用的默认方案 Default Schema
  • 设置数据源
  • JdbcUserDetailsManager Bean

Default Schema

Spring Security为基于JDBC的身份验证提供默认查询。本节提供与默认查询一起使用的相应默认模式。您需要调整模式，使其与查询和正在使用的数据库方言的任何定制相匹配。

User Schema

JdbcDaoImpl需要表来加载用户的密码、帐户状态（已启用或已禁用）和权限列表（角色）。下面可以找到所需的默认模式：默认模式也作为名为org/springframework/security/core/userdetails/jdbc/users.ddl。

create table users(
	username varchar_ignorecase(50) not null primary key,
	password varchar_ignorecase(500) not null,
	enabled boolean not null
);

create table authorities (
	username varchar_ignorecase(50) not null,
	authority varchar_ignorecase(50) not null,
	constraint fk_authorities_users foreign key(username) references users(username)
);
create unique index ix_auth_username on authorities (username,authority);

Oracle是一种流行的数据库选择，但需要稍微不同的模式。您可以在下面找到用户的默认Oracle模式:

CREATE TABLE USERS (
    USERNAME NVARCHAR2(128) PRIMARY KEY,
    PASSWORD NVARCHAR2(128) NOT NULL,
    ENABLED CHAR(1) CHECK (ENABLED IN ('Y','N') ) NOT NULL
);


CREATE TABLE AUTHORITIES (
    USERNAME NVARCHAR2(128) NOT NULL,
    AUTHORITY NVARCHAR2(128) NOT NULL
);
ALTER TABLE AUTHORITIES ADD CONSTRAINT AUTHORITIES_UNIQUE UNIQUE (USERNAME, AUTHORITY);
ALTER TABLE AUTHORITIES ADD CONSTRAINT AUTHORITIES_FK1 FOREIGN KEY (USERNAME) REFERENCES USERS (USERNAME) ENABLE;
Group Schema

如果应用程序正在利用groups，则需要提供groups schema(分组方案)。下面可以找到组的默认模式。

create table groups (
	id bigint generated by default as identity(start with 0) primary key,
	group_name varchar_ignorecase(50) not null
);

create table group_authorities (
	group_id bigint not null,
	authority varchar(50) not null,
	constraint fk_group_authorities_group foreign key(group_id) references groups(id)
);

create table group_members (
	id bigint generated by default as identity(start with 0) primary key,
	username varchar(50) not null,
	group_id bigint not null,
	constraint fk_group_members_group foreign key(group_id) references groups(id)
);

Setting up a DataSource

在配置JdbcUserDetailsManager之前，我们必须创建一个数据源。在我们的示例中，我们将设置一个用默认用户模式初始化的嵌入式数据源。

@Bean
DataSource dataSource() {
	return new EmbeddedDatabaseBuilder()
		.setType(H2)
		.addScript("classpath:org/springframework/security/core/userdetails/jdbc/users.ddl")
		.build();
}

在生产环境中，您需要确保设置到外部数据库的连接。

JdbcUserDetailsManager Bean

在这个示例中，我们使用Spring Boot CLI对password的密码进行编码，并获得{bcrypt}$2a 10 10 10GRLdNijSQMUvl/au9ofL.Edwmoohzz7.rmNSJZ。0FxO/BTk76klW的编码密码。有关如何存储密码的更多详细信息，请参阅PasswordEncoder部分。

@Bean
UserDetailsManager users(DataSource dataSource) {
	UserDetails user = User.builder()
		.username("user")
		.password("{bcrypt}$2a$10$GRLdNijSQMUvl/au9ofL.eDwmoohzzS7.rmNSJZ.0FxO/BTk76klW")
		.roles("USER")
		.build();
	UserDetails admin = User.builder()
		.username("admin")
		.password("{bcrypt}$2a$10$GRLdNijSQMUvl/au9ofL.eDwmoohzzS7.rmNSJZ.0FxO/BTk76klW")
		.roles("USER", "ADMIN")
		.build();
	JdbcUserDetailsManager users = new JdbcUserDetailsManager(dataSource);
	users.createUser(user);
	users.createUser(admin);
	return users;
}

UserDetails

UserDetails由UserDetailsService返回。DaoAuthenticationProvider验证UserDetails，然后返回一个包含principal 的Authentication ，该Authentication 的principal是已配置的UserDetails服务返回的UserDetails。

UserDetailsService

UserDetailsService由DaoAuthenticationProvider用于检索用户名、密码和其他属性，以便使用用户名和密码进行身份验证。Spring Security提供了UserDetailsService的内存和JDBC实现。
可以通过将自定义UserDetailsService公开为bean来定义自定义身份验证。例如，假设CustomUserDetailsService实现了UserDetailsService，以下内容将自定义身份验证(仅当尚未填充AuthenticationManagerBuilder且未定义AuthenticationProviderBean时，才使用此选项)：

@Bean
CustomUserDetailsService customUserDetailsService() {
	return new CustomUserDetailsService();
}

PasswordEncoder

Spring Security的servlet支持通过与PasswordEncoder集成来安全地存储密码。定制Spring Security使用的PasswordEncoder实现可以通过公开PasswordEncoder Bean来完成。

DaoAuthenticationProvider

DaoAuthenticationProvider是一个AuthenticationProvider实现，它利用UserDetails服务和PasswordEncoder来验证用户名和密码。
让我们看看DaoAuthenticationProvider在Spring Security中是如何工作的。该图通过读取用户名和密码详细解释了AuthenticationManager在图中的工作方式。
在这里插入图片描述

  1. Authentication Filter会将读取到的用户名和密码封装成UsernamePasswordAuthenticationToken传递给由ProviderManager实现的AuthenticationManager。
  2. ProviderManager配置为使用DaoAuthenticationProvider类型的AuthenticationProvider。
  3. DaoAuthenticationProvider从UserDetails服务中查找UserDetails。
  4. DaoAuthenticationProvider然后使用PasswordEncoder在上一步返回的UserDetails上验证密码。
  5. 身份验证成功后，返回的身份验证类型为UsernamePasswordAuthenticationToken，其principal 是配置的UserDetailsService返回的UserDetails。最终， Authentication Filter将在SecurityContextHolder上设置返回的UsernamePasswordAuthenticationToken。

LDAP Authentication

LDAP通常被组织用作用户信息的中央存储库和身份验证服务。它还可以用于存储应用程序用户的角色信息。
当配置为接受用户名/密码进行身份验证时，Spring Security将使用Spring Security基于LDAP的身份验证。然而，尽管利用用户名/密码进行身份验证，但它没有使用UserDetailsService进行集成，因为在绑定身份验证中，LDAP服务器不会返回密码，因此应用程序无法执行密码验证。
对于如何配置LDAP服务器，有许多不同的场景，因此Spring Security的LDAP提供程序是完全可配置的。它使用单独的策略接口进行身份验证和角色检索，并提供可配置为处理各种情况的默认实现。

Prerequisites（先决条件）

在尝试将LDAP与Spring Security结合使用之前，您应该熟悉LDAP。以下链接很好地介绍了相关概念，并提供了使用免费LDAP服务器OpenLDAP设置目录的指南：https://www.zytrax.com/books/ldap/.熟悉用于从Java访问LDAP的JNDIAPI可能也很有用。我们在LDAP提供程序中不使用任何第三方LDAP库（Mozilla、JLDAP等），但广泛使用Spring LDAP，因此如果您计划添加自己的定制，那么对该项目的一些熟悉可能会很有用。
使用LDAP身份验证时，确保正确配置LDAP连接池非常重要。如果您不熟悉如何做到这一点，可以参考Java LDAP文档。

Setting up an Embedded LDAP Server

您需要做的第一件事是确保您有一个LDAP服务器来指向您的配置。为了简单起见，通常最好从嵌入式LDAP服务器开始。Spring Security支持使用以下任一选项：

  • Embedded UnboundID Server
  • Embedded ApacheDS Server

在下面的示例中，我们将以下内容公开为用户。ldif作为一个类路径资源，用用户user和admin初始化嵌入式LDAP服务器，这两个用户的密码都是password。
users.ldif

dn: ou=groups,dc=springframework,dc=org
objectclass: top
objectclass: organizationalUnit
ou: groups

dn: ou=people,dc=springframework,dc=org
objectclass: top
objectclass: organizationalUnit
ou: people

dn: uid=admin,ou=people,dc=springframework,dc=org
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Rod Johnson
sn: Johnson
uid: admin
userPassword: password

dn: uid=user,ou=people,dc=springframework,dc=org
objectclass: top
objectclass: person
objectclass: organizationalPerson
objectclass: inetOrgPerson
cn: Dianne Emu
sn: Emu
uid: user
userPassword: password

dn: cn=user,ou=groups,dc=springframework,dc=org
objectclass: top
objectclass: groupOfNames
cn: user
uniqueMember: uid=admin,ou=people,dc=springframework,dc=org
uniqueMember: uid=user,ou=people,dc=springframework,dc=org

dn: cn=admin,ou=groups,dc=springframework,dc=org
objectclass: top
objectclass: groupOfNames
cn: admin
uniqueMember: uid=admin,ou=people,dc=springframework,dc=org
Embedded UnboundID Server

如果希望使用Unbounded，请指定以下依赖项：

<dependency>
	<groupId>com.unboundid</groupId>
	<artifactId>unboundid-ldapsdk</artifactId>
	<version>4.0.14</version>
	<scope>runtime</scope>
</dependency>

@Bean
UnboundIdContainer ldapContainer() {
	return new UnboundIdContainer("dc=springframework,dc=org",
				"classpath:users.ldif");
}
Embedded ApacheDS Server

Spring Security使用ApacheDS1.x不再维护的,不幸的是，ApacheDS 2.x只发布了里程碑版本，没有稳定的版本。一旦ApacheDS 2.x稳定发布我们会考虑更新。

<dependency>
	<groupId>org.apache.directory.server</groupId>
	<artifactId>apacheds-core</artifactId>
	<version>1.5.5</version>
	<scope>runtime</scope>
</dependency>
<dependency>
	<groupId>org.apache.directory.server</groupId>
	<artifactId>apacheds-server-jndi</artifactId>
	<version>1.5.5</version>
	<scope>runtime</scope>
</dependency>
@Bean
ApacheDSContainer ldapContainer() {
	return new ApacheDSContainer("dc=springframework,dc=org",
				"classpath:users.ldif");
}

LDAP ContextSource

一旦您有了一个LDAP服务器来指向您的配置，您就需要配置Spring Security来指向一个应该用来验证用户身份的LDAP服务器。这是通过创建LDAP ContextSource来实现的，它相当于JDBC数据源。

ContextSource contextSource(UnboundIdContainer container) {
	return new DefaultSpringSecurityContextSource("ldap://localhost:53389/dc=springframework,dc=org");
}

Authentication

Spring Security的LDAP支持不使用UserDetails服务，因为LDAP绑定身份验证不允许客户端读取密码，甚至不允许客户端读取密码的哈希版本。这意味着无法读取密码，然后由Spring Security进行身份验证。
因此，LDAP支持是使用LdapAuthenticator接口实现的。LdapAuthenticator还负责检索任何必需的用户属性。这是因为属性上的权限可能取决于所使用的身份验证类型。例如，如果以用户身份绑定，可能需要使用用户自己的权限读取它们。
Spring Security提供了两种LdapAuthenticator实现：

  • Using Bind Authentication
  • Using Password Authentication

Using Bind Authentication

绑定身份验证是使用LDAP对用户进行身份验证的最常见机制。在绑定身份验证中，用户凭据（即用户名/密码）被提交到LDAP服务器，LDAP服务器对用户进行身份验证。使用绑定身份验证的优点是，用户的秘密（即密码）不需要向客户端公开，这有助于保护它们不被泄露。
下面是绑定身份验证配置的示例。

@Bean
BindAuthenticator authenticator(BaseLdapPathContextSource contextSource) {
	BindAuthenticator authenticator = new BindAuthenticator(contextSource);
	authenticator.setUserDnPatterns(new String[] { "uid={0},ou=people" });
	return authenticator;
}

@Bean
LdapAuthenticationProvider authenticationProvider(LdapAuthenticator authenticator) {
	return new LdapAuthenticationProvider(authenticator);
}

这个简单的示例将通过在提供的模式中替换用户登录名并尝试用登录密码绑定为该用户来获取该用户的DN。如果所有用户都存储在目录中的一个节点下，则这是正常的。如果希望配置LDAP搜索筛选器来定位用户，可以使用以下选项：

@Bean
BindAuthenticator authenticator(BaseLdapPathContextSource contextSource) {
	String searchBase = "ou=people";
	String filter = "(uid={0})";
	FilterBasedLdapUserSearch search =
		new FilterBasedLdapUserSearch(searchBase, filter, contextSource);
	BindAuthenticator authenticator = new BindAuthenticator(contextSource);
	authenticator.setUserSearch(search);
	return authenticator;
}

@Bean
LdapAuthenticationProvider authenticationProvider(LdapAuthenticator authenticator) {
	return new LdapAuthenticationProvider(authenticator);
}

如果与上面的ContextSource定义一起使用，这将在DN ou=people、dc=springframework、dc=org下使用（uid={0}）作为过滤器执行搜索。同样，用户登录名将替换过滤器名称中的参数，因此它将搜索uid属性等于用户名的条目。如果未提供用户搜索库，则将从根目录执行搜索。

Using Password Authentication

密码比较是将用户提供的密码与存储库中存储的密码进行比较。这可以通过检索password属性的值并在本地进行检查来实现，也可以通过执行LDAP“比较”操作来实现，其中提供的密码被传递给服务器进行比较，而真正的密码值永远不会被检索。如果密码用随机盐正确散列，则无法进行LDAP比较.

@Bean
PasswordComparisonAuthenticator authenticator(BaseLdapPathContextSource contextSource) {
	return new PasswordComparisonAuthenticator(contextSource);
}

@Bean
LdapAuthenticationProvider authenticationProvider(LdapAuthenticator authenticator) {
	return new LdapAuthenticationProvider(authenticator);
}

下面可以找到一些定制的更高级配置。

@Bean
PasswordComparisonAuthenticator authenticator(BaseLdapPathContextSource contextSource) {
	PasswordComparisonAuthenticator authenticator =
		new PasswordComparisonAuthenticator(contextSource);
     // 将密码属性指定为pwd
	authenticator.setPasswordAttributeName("pwd");
	// 使用BCryptPasswordEncoder
	authenticator.setPasswordEncoder(new BCryptPasswordEncoder());
	return authenticator;
}

@Bean
LdapAuthenticationProvider authenticationProvider(LdapAuthenticator authenticator) {
	return new LdapAuthenticationProvider(authenticator);
}

LdapAuthoritiesPopulator（LDAP权限填充器）

Spring Security的LdapAuthoritiesPopulator用于确定为用户返回哪些授权。

@Bean
LdapAuthoritiesPopulator authorities(BaseLdapPathContextSource contextSource) {
	String groupSearchBase = "";
	DefaultLdapAuthoritiesPopulator authorities =
		new DefaultLdapAuthoritiesPopulator(contextSource, groupSearchBase);
	authorities.setGroupSearchFilter("member={0}");
	return authorities;
}

@Bean
LdapAuthenticationProvider authenticationProvider(LdapAuthenticator authenticator, LdapAuthoritiesPopulator authorities) {
	return new LdapAuthenticationProvider(authenticator, authorities);
}

Active Directory

Active Directory支持自己的非标准身份验证选项，而正常的使用模式不太适合标准的LdapAuthenticationProvider。通常，使用域用户名（格式为user@domain)，而不是使用LDAP可分辨名称。为了简化这一过程，Spring Security提供了一个身份验证提供程序，它是为典型的Active Directory设置定制的。
配置ActiveDirectoryLdapAuthenticationProvider非常简单。您只需要提供域名和一个提供服务器地址的LDAP URL[1]。下面可以看到一个配置示例：

@Bean
ActiveDirectoryLdapAuthenticationProvider authenticationProvider() {
	return new ActiveDirectoryLdapAuthenticationProvider("example.com", "ldap://company.example.com/");
}
升级中的小码农
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
spring security 官方文档
10-08
在Spring Security的官方文档中，包含了详细的配置指南、API参考、示例代码和最佳实践，帮助开发者深入理解并有效使用这个框架。例如，5.1版本的新特性包括对Servlet和WebFlux的支持增强，以及与其他第三方库的集成...
SpringSecurity中文文档.zip
11-11
本压缩包包含了两份重要的SpringSecurity中文文档，分别为“Spring Security安全权限管理手册.CHM”和“Spring Security 3.x Reference__Robin收集整理制作(fastzch@gmail.com).chm”。 “Spring Security安全权限...
SpringSecurity中文文档（Reading the Username & Password）
znjy111的博客
06-27 576
控制 HTTP 摘要身份验证的标准由 RFC 2617定义，它更新了 RFC 2069规定的摘要身份验证标准的早期版本。如果需要使用未加密的 HTTP (不使用 TLS 或 HTTPS)并希望最大限度地提高身份验证过程的安全性，则摘要身份验证被视为一种更具吸引力的选择。但是，一旦提供了任何基于 servlet 的配置，就必须显式提供基于表单的登录。本节详细介绍 Spring Security 中基于表单的身份验证是如何工作的。前面的图是基于我们的 SecurityFilterChain 图构建的。
SpringSecurity中文文档（Project+Modules-Simple）
znjy111的博客
06-19 997
即使你不用 Maven,我们建议您查阅 pom.xml 文件以了解第三方依赖关系和版本。另一个好主意是检查示例应用程序中包含的库。本节提供了 Spring Security 中模块的参考，以及它们在运行的应用程序中运行所需的附加依赖项。我们不包括仅在构建或测试 SpringSecurity 本身时使用的依赖项。我们也不包括外部依赖项所需的传递依赖项。需要的 Spring 版本在项目网站上列出,因此示例中的 Spring 依赖项省略了特定的版本。
SpringSecurity中文文档（Servlet Password Storage）
最新发布
znjy111的博客
06-28 582
这可以通过检索 password 属性的值并在本地进行检查来完成，也可以通过执行 LDAP 的“比较”操作来完成，其中提供的密码被传递给服务器进行比较，并且永远不会检索到真正的密码值。然而，尽管使用用户名和密码进行身份验证，它并不使用 UserDetailsService，因为在绑定身份验证中，LDAP 服务器不会返回密码，因此应用程序无法进行密码验证。对于如何配置 LDAP 服务器，有许多不同的场景，因此 Spring Security 的 LDAP 提供程序是完全可配置的。
Spring Security - 03 使用 Basic HTTP 认证方式
qq_29761395的博客
02-04 931
文章目录环境项目结构测试参考 环境 操作系统： Windows 10 x64 集成开发环境： Spring Tool Suite 4 Version: 4.12.1.RELEASE Build Id: 202110260750 浏览器（客户端）： Google Chrome 版本 97.0.4692.71（正式版本） （64 位） 项目结构 参考：Spring Security - 02 从 SecurityContextHolder 中获取用户信息 新建 WebSecurityConfigure
9、Spring Security 5.2.2文档翻译-架构和实现
抛砖引玉
03-02 892
一旦您熟悉了基于名称空间配置的应用程序的设置和运行，您可能希望进一步了解框架在名称空间背后的实际工作方式。与大多数软件一样，Spring Security具有某些在整个框架中通常使用的中心接口、类和概念抽象。在参考指南的这一部分中，我们将研究其中的一些，并了解它们如何协同工作以支持Spring Security中的身份验证和访问控制。 1、 技术概览 1.1、运行时环境 Spring Securi...
Spring Security Oauth2以及整合sso
weixin_43730516的博客
03-11 798
}注意一定要实现接口，并重写其中的方法JSON Web Token(JWT)是一个开放的行业标准（RFC 7519），它定义了一种简洁的、自包含的协议格式，用于通信双方传递json对象，传递的信息经过数字签名可以被验证和信任，JWT可以使用HMAC算法或使用RSA的公钥/私钥对来签名，防止被篡改。
springboot2.3.1集成springsecurity实现连接数据库登陆
libiao1994libiao的博客
06-17 966
1：首先要有实体表等 springsecurity使用接口UserService中的loadUserByUsername(String username)；查询数据库中的用户信息，所以我们需要自定义一个UserServiceImpl来实现UserService，重写loadUserByUsername(String username)方法。springsecurity需要用UserDetails来实现认证和授权。所以我写了一个类来实现UserDetails这个接口，并且将用户实体作为里边的一个属性。 Us
spring security+jwt 登录认证
Jelly
06-11 740
Spring 是非常流行和成功的 Java 应用开发框架，Spring Security 正是 Spring 家族中的 成员。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方 案（ 用户认证与用户授权）。idea2022 maven3.6+ jdk1.8 security 5.7.2 5.2新建工具类 JwtUtil AuthUtil 5.2新建组件类 CustomAccessDeniedHandler CustomAuthenticationEntryP
Spring Security多登录页面示例
allway2的博客
11-06 2122
在 Web 应用程序开发中，有两个单独的模块是很常见的 - 一个用于管理员用户，一个用于普通用户。每个模块都有一个单独的登录页面，并且可以与相同或不同的身份验证源相关联。换句话说，应用程序为不同类型的用户提供了多个登录页面：管理员和用户，或管理员和客户。在这篇 Spring Boot 文章中，我想与您分享如何使用 Spring Security 编写此类身份验证代码。在详细信息中，您将了解：在这两种情况下，我还展示了不同 Spring Boot 和 Spring Security 版本的代码示例，即 Spr
Spring Security - 04 使用表单登录认证方式
qq_29761395的博客
02-05 2081
文章目录环境项目结构测试参考 环境 操作系统： Windows 10 x64 集成开发环境： Spring Tool Suite 4 Version: 4.12.1.RELEASE Build Id: 202110260750 浏览器（客户端）： Google Chrome 版本 97.0.4692.71（正式版本） （64 位） 项目结构 参考：Spring Security - 03 使用 Basic HTTP 认证方式 修改 WebSecurityConfigurer 配置类，使用表单登录认
Spring Security如何基于Authentication获取用户信息
08-19
在Spring Security框架中，Authentication对象扮演着至关重要的角色，它封装了当前用户的身份验证信息，包括用户名、权限等。在Spring Security的体系中，每个安全相关的请求都会与一个Authentication对象关联，该...
SpringSecurity笔记，编程不良人笔记
10-28
SpringSecurity提供`Authentication`接口，用于处理身份验证过程。 - **Authorization**: 授权是指决定用户是否有权限访问某个资源。SpringSecurity支持基于角色的访问控制（RBAC）和其他授权模型。 - **Access ...
Spring-Security-3中文官方文档.pdf
09-21
这份《Spring-Security-3中文官方文档》是学习这个框架的宝贵资源，尤其对于中文阅读者来说，它消除了语言障碍，使理解更加便捷。 首先，Spring Security 的核心概念包括Security Context（安全上下文）、...
Java日志——Logback的使用及原理
Logger
11-15 4321
文章目录LogbackLogback的Maven引入Logback与日志门面slf4j Logback Logback与Log4j的作者是同一个人，从官网介绍中也说明了，Logback的目的是作为流行的log4j项目的接替者。 Logback分为三个模块： logback-core：核心代码模块，为其他两个模块奠定基础。 logback-classic：对Log4j的一个改良版本，同时实现了sl...
SpringSecurity中文文档—Authentication— Authentication Architecture
Logger
03-03 4078
SecurityContextHolder SecurityContextHolder是Spring Security存储身份验证人员详细信息的地方。Spring Security认证模型的核心是SecurityContextHolder。它包含SecurityContext。 Spring Security不关心SecurityContextHolder的填充方式。如果它包含一个值，则将其用作当前经过身份验证的用户。 指示用户已通过身份验证的最简单方法是直接设置SecurityContextHolder
Java后端XSS攻击防护和防止SQL注入
Logger
01-07 2797
最近在重构老项目的部分功能，发现项目中没有对XSS攻击防护的过滤，做了XSS过滤器，顺带整理一下内容。 SQL注入 一个SQL注入例子 我们举一个简单的sql注入例子，来解释其是如何进行注入的。假设现有一个登录功能，提交时需要验证用户名和密码，后台的验证是通过查库中的USER表完成的: String sql = "select * from USER where username= ' "+use...
Username/Password Authentication Failed.
08-26
"Username/Password Authentication Failed"意味着通过用户名和密码进行身份验证时出现了错误。根据引用和引用的描述，可能是由于输入的用户名和密码不正确导致的。请确保输入的用户名和密码正确无误，并再次尝试登录。 此外，根据引用的描述，如果系统的PermitRootLogin设置为without-password，那么对于root用户来说，密码验证是无效的。这可能导致使用securecrt无法登录系统。如果您正在尝试使用root用户登录，请确认系统的PermitRootLogin设置，并根据需要进行修改。 总结来说，要解决"Username/Password Authentication Failed"的问题，您需要确认输入的用户名和密码是否正确，并检查系统的PermitRootLogin设置是否适当。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* [无法建立SSH链接和Password Authentication Failed，Please verify that the username and password are ...](https://blog.csdn.net/lingxun123456/article/details/118444194)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] - *2* *3* [SecureCRT无法连接Linux虚拟机，返回账号密码错误Password Authentication Failed](https://blog.csdn.net/Chen_Victor/article/details/53092428)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值