spring security 学习

最新推荐文章于 2024-05-06 13:44:04 发布
最新推荐文章于 2024-05-06 13:44:04 发布
阅读量125 收藏
点赞数
文章标签： Security Spring Access Web XML
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/long5000/article/details/83764476
版权

转载文章，学习

 

Springside 3.3.1中权限控制用的是用户－角色－授权的方式。相应的建立了三张表
acct_authority     权限表
acct_role         角色表
acct_role_authority 角色权限关系表
acct_user          用户表
acct_user_role      用户角色关系表

spring security 设计了一个<http>标签用来配置url与 授权 的关系
applicationContext-security.xml:

Java代码 复制代码
  1. <description>SpringSecurity安全配置</description>   
  2.     <!-- http安全配置 -->   
  3.     <!-- auto-config属性其实是<form-login/>,<http-basic/>,<logout/>的缩写.   
  4.          没配置登录页面的情况下，spring自动生成一个. -->   
  5.     <s:http auto-config= "true"  use-expressions= "true" >   
  6.         <s:intercept-url pattern= "/css/**"  filters= "none"  />   
  7.         <s:intercept-url pattern= "/img/**"  filters= "none"  />   
  8.         <s:intercept-url pattern= "/js/**"  filters= "none"  />   
  9.     <!-- 设置通过这个url需要什么样的权限  -->   
  10.         <s:intercept-url pattern= "/account/user!save*"  access= "hasAnyRole('ROLE_修改用户')"  />   
  11.         <s:intercept-url pattern= "/account/user!delete*"  access= "hasAnyRole('ROLE_修改用户')"  />   
  12.         <s:intercept-url pattern= "/account/user*"  access= "hasAnyRole('ROLE_浏览用户')"  />   
  13.         <s:intercept-url pattern= "/account/role!save*"  access= "hasAnyRole('ROLE_修改角色')"  />   
  14.         <s:intercept-url pattern= "/account/role!delete*"  access= "hasAnyRole('ROLE_修改角色')"  />   
  15.         <s:intercept-url pattern= "/account/role*"  access= "hasAnyRole('ROLE_浏览角色')"  />   
  16.     <!-- < s:intercept-url pattern= '/login.htm*'  filters= 'none' />这个标签是把验证排除在外。因为这是一个登录页面。   
  17.         而s:form-login标签的login-page则指定遇到受限资源需要进行登录时候的页面.   
  18.          default -target-url指定了从登录页面登录后进行跳转的页面   
  19.         always-use- default -target这个属性表示登录成功后强制跳转到 default -target-url这个地址。默认情况下如果是从首先页面过来登录的，那么跳转是跳转回受限页面。 -->   
  20.         <s:form-login login-page= "/login.action"   default -target-url= "/account/role.action"  authentication-failure-url= "/login.action?error=true"   always-use- default -target = "ture" />   
  21.         <s:logout logout-success-url= "/"  />   
  22.     </s:http>   
<description>SpringSecurity安全配置</description>
	<!-- http安全配置 -->
	<!-- auto-config属性其实是<form-login/>,<http-basic/>,<logout/>的缩写.
		 没配置登录页面的情况下，spring自动生成一个. -->
	<s:http auto-config="true" use-expressions="true">
		<s:intercept-url pattern="/css/**" filters="none" />
		<s:intercept-url pattern="/img/**" filters="none" />
		<s:intercept-url pattern="/js/**" filters="none" />
	<!-- 设置通过这个url需要什么样的权限  -->
	    <s:intercept-url pattern="/account/user!save*" access="hasAnyRole('ROLE_修改用户')" />
		<s:intercept-url pattern="/account/user!delete*" access="hasAnyRole('ROLE_修改用户')" />
		<s:intercept-url pattern="/account/user*" access="hasAnyRole('ROLE_浏览用户')" />
	    <s:intercept-url pattern="/account/role!save*" access="hasAnyRole('ROLE_修改角色')" />
		<s:intercept-url pattern="/account/role!delete*" access="hasAnyRole('ROLE_修改角色')" />
		<s:intercept-url pattern="/account/role*" access="hasAnyRole('ROLE_浏览角色')" />
	<!-- < s:intercept-url pattern='/login.htm*' filters='none'/>这个标签是把验证排除在外。因为这是一个登录页面。
		而s:form-login标签的login-page则指定遇到受限资源需要进行登录时候的页面.
		default-target-url指定了从登录页面登录后进行跳转的页面
		always-use-default-target这个属性表示登录成功后强制跳转到default-target-url这个地址。默认情况下如果是从首先页面过来登录的，那么跳转是跳转回受限页面。 -->
		<s:form-login login-page="/login.action" default-target-url="/account/role.action" authentication-failure-url="/login.action?error=true"  always-use-default-target ="ture"/>
		<s:logout logout-success-url="/" />
	</s:http>


要实现数据库与spring security的结合,我们必需实现UserDetailsService接口中的loadUserByUsername(String username)方法,此方法返回一个org.springframework.security.core.userdetails.User对象.因此,怎么样设计数据库都可以,不管我们是用一个表还是两个表或者说是三个表都可以,也不管我们是用户-授权,还是用户-角色-授权,或者是用户-用户组-角色-授权,这些spring security都不关心,它只关心返回的那个User对角.至于怎么样去查询数据库那就是我们的事了.
Springside 3.3.1 mini-web 中的UserDetailsServiceImpl类:

Java代码 复制代码
  1. /**  
  2.  * 实现SpringSecurity的UserDetailsService接口,实现获取用户Detail信息的回调函数.  
  3.  *   
  4.  * @author calvin  
  5.  */   
  6. @Transactional (readOnly =  true )   
  7. public   class  UserDetailsServiceImpl  implements  UserDetailsService {   
  8.   
  9.      private  AccountManager accountManager;   
  10.      /**  
  11.      * 获取用户Details信息的回调函数.  
  12.      */   
  13.      public  UserDetails loadUserByUsername(String username)  throws  UsernameNotFoundException, DataAccessException {   
  14.   
  15.         User user = accountManager.findUserByLoginName(username);   
  16.          if  (user ==  null ) {   
  17.              throw   new  UsernameNotFoundException( "用户"  + username +  " 不存在" );   
  18.         }   
  19.   
  20.         Set<GrantedAuthority> grantedAuths = obtainGrantedAuthorities(user);   
  21.            
  22. //      System.out.println(grantedAuths);   
  23.   
  24.          //-- mini-web示例中无以下属性, 暂时全部设为true. --//   
  25.          boolean  enabled =  true ;   
  26.          boolean  accountNonExpired =  true ;   
  27.          boolean  credentialsNonExpired =  true ;   
  28.          boolean  accountNonLocked =  true ;   
  29.   
  30.         UserDetails userdetails =  new  org.springframework.security.core.userdetails.User(user.getLoginName(), user   
  31.                 .getPassword(), enabled, accountNonExpired, credentialsNonExpired, accountNonLocked, grantedAuths);   
  32.            
  33.          return  userdetails;   
  34.     }   
  35.      /**  
  36.      * 获得用户所有角色的权限集合.  
  37.      */   
  38.      private  Set<GrantedAuthority> obtainGrantedAuthorities(User user) {   
  39.         Set<GrantedAuthority> authSet = Sets.newHashSet();   
  40.          for  (Role role : user.getRoleList()) {   
  41.              for  (Authority authority : role.getAuthorityList()) {   
  42.                 authSet.add( new  GrantedAuthorityImpl(authority.getPrefixedName()));   
  43.             }   
  44.         }   
  45.          return  authSet;   
  46.     }   
  47.      @Autowired   
  48.      public   void  setAccountManager(AccountManager accountManager) {   
  49.          this .accountManager = accountManager;   
  50.     }   
  51. }   
/**
 * 实现SpringSecurity的UserDetailsService接口,实现获取用户Detail信息的回调函数.
 * 
 * @author calvin
 */
@Transactional(readOnly = true)
public class UserDetailsServiceImpl implements UserDetailsService {

	private AccountManager accountManager;
	/**
	 * 获取用户Details信息的回调函数.
	 */
	public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException, DataAccessException {

		User user = accountManager.findUserByLoginName(username);
		if (user == null) {
			throw new UsernameNotFoundException("用户" + username + " 不存在");
		}

		Set<GrantedAuthority> grantedAuths = obtainGrantedAuthorities(user);
		
//		System.out.println(grantedAuths);

		//-- mini-web示例中无以下属性, 暂时全部设为true. --//
		boolean enabled = true;
		boolean accountNonExpired = true;
		boolean credentialsNonExpired = true;
		boolean accountNonLocked = true;

		UserDetails userdetails = new org.springframework.security.core.userdetails.User(user.getLoginName(), user
				.getPassword(), enabled, accountNonExpired, credentialsNonExpired, accountNonLocked, grantedAuths);
		
		return userdetails;
	}
	/**
	 * 获得用户所有角色的权限集合.
	 */
	private Set<GrantedAuthority> obtainGrantedAuthorities(User user) {
		Set<GrantedAuthority> authSet = Sets.newHashSet();
		for (Role role : user.getRoleList()) {
			for (Authority authority : role.getAuthorityList()) {
				authSet.add(new GrantedAuthorityImpl(authority.getPrefixedName()));
			}
		}
		return authSet;
	}
	@Autowired
	public void setAccountManager(AccountManager accountManager) {
		this.accountManager = accountManager;
	}
}


最后在applicationContext-security.xml配置保用userDetailsService类提供的用户信息认证

Java代码 复制代码
  1. <!-- 认证配置, 使用userDetailsService提供的用户信息 -->   
  2. <s:authentication-manager alias= "authenticationManager" >   
  3.         <s:authentication-provider user-service-ref= "userDetailsService" >   
  4.             <s:password-encoder hash= "plaintext"  />   
  5.         </s:authentication-provider>   
  6.     </s:authentication-manager>   
  7.   
  8.     <!-- 项目实现的用户查询服务 -->   
  9.     <bean id= "userDetailsService"   class = "org.springside.examples.miniweb.service.account.UserDetailsServiceImpl"  />   
  10. </beans>   
<!-- 认证配置, 使用userDetailsService提供的用户信息 -->
<s:authentication-manager alias="authenticationManager">
		<s:authentication-provider user-service-ref="userDetailsService">
			<s:password-encoder hash="plaintext" />
		</s:authentication-provider>
	</s:authentication-manager>

	<!-- 项目实现的用户查询服务 -->
	<bean id="userDetailsService" class="org.springside.examples.miniweb.service.account.UserDetailsServiceImpl" />
</beans>


以上实现了对url的仅限访问.
如果对部方url中的具体操作作认证,则可以在页面使用标签:

Java代码 复制代码
  1. <security:authorize ifAnyGranted= "ROLE_浏览角色" >   
  2.     <security:authorize ifNotGranted= "ROLE_修改角色" >   
  3.         <a href= "role!input.action?id=${id}" >查看</a>   
  4.     </security:authorize>   
  5. </security:authorize>   
<security:authorize ifAnyGranted="ROLE_浏览角色">
	<security:authorize ifNotGranted="ROLE_修改角色">
		<a href="role!input.action?id=${id}">查看</a>
	</security:authorize>
</security:authorize>


在web.xml中配置spring security 的上下文

Java代码 复制代码
  1. <!-- SpringSecurity filter-->   
  2.     <filter>   
  3.         <filter-name>springSecurityFilterChain</filter-name>   
  4.     <filter- class >org.springframework.web.filter.DelegatingFilterProxy</filter- class >   
  5.     </filter>   
  6.   
  7. <!-- Filter 映射 -->   
  8.     <filter-mapping>   
  9.         <filter-name>springSecurityFilterChain</filter-name>   
  10.         <url-pattern>/*</url-pattern>   
  11.     </filter-mapping>   
<!-- SpringSecurity filter-->
	<filter>
		<filter-name>springSecurityFilterChain</filter-name>
	<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
	</filter>

<!-- Filter 映射 -->
	<filter-mapping>
		<filter-name>springSecurityFilterChain</filter-name>
		<url-pattern>/*</url-pattern>
	</filter-mapping>


程序跳转流程:
用户输入用户名和密码,程序通过web.xml中配置的springsecurity上下文到applicationContext-security.xml中找到认证处理类   userdetailsService类,
在 loadUserByUsername(String username)方法,程序去查找到用户,再通过用户找到它所属的角色,再通过角色找到它所拥有的权限.再将这些信息封装成org.springframework.security.core.userdetails.User对象返回.如果在查找当中用户不存在, 程序会通过applicationContext-security.xml配置文件中的 <s:http>标签中的<s:form-login >中的authentication-failure-url 属性值返回给用户,如果验证通过则返回default-target-url属性值给用户.用户在使用程序时,程序会通过applicationContext-security.xml文件中将<s:http> 标签中的<s:intercept-url> 中url所需要的权限与用户的权限作对比,如果用户拥有此权限,则会直接进行跳转,如果没有权限,则返回<s:http>标签中的<s:form-login >中的authentication-failure-url 属性值.

long5000
关注
Spring Security安全框架
weixin_66307949的博客
08-02 1608
创建配置类：webSecurityConfigureAdapter（去继承它）（1）查询username、password、validate(用户是否有效)config(HttpSecuritr http)：设置访问控制。（2）查询username、authority(权限)布尔类型的字段：用户是否有效。启动项目，自定义进行安全管理（默认的安全管理模式）密码：必须进行加密操作。授权：确定用户的权限，对用户权限进行管理。认证：确认用户是否登录，对登录进行管控。创建工具类（config层）......
org.springframework.security.userdetails.memory.InMemoryDaoImpl安全配置
mail1239的专栏
12-28 1121
初级的文件如下配置http://www.springframework.org/schema/security"    xmlns:beans="http://www.springframework.org/schema/beans"    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"    xsi:schemaLocation="
org.springframework.security.authentication.BadCredentialsException: Bad credentials
ginger_mr的博客
08-11 1093
在使用springsecurity框架做登录功能时，出现这种错是因为我在登陆的时候，使用了加密在登录时使用加密其实是完全错误的，只有在添加用户时才使用加密。去掉登录中的加密就解决问题了。
spring security异常记录：org.springframework.security.access.AccessDeniedException: Access is denied
热门推荐
qq_56769991的博客
02-11 2万+
最近在做ssm项目的时候用到spring security时遇到了异常，如下所示： 15:06:28,144 DEBUG FilterSecurityInterceptor:348 - Previously Authenticated: org.springframework.security.authentication.AnonymousAuthenticationToken@52dd6d71: Principal: anonymousUser; Credentials: [PROTECTED]; .
Spring security 包名org.springframework.security
Nemo
05-29 1393
链接https://blog.csdn.net/liushangzaibeijing/article/details/81220610 SpringBoot + Spring Security 基本使用及个性化登录配置:https://blog.csdn.net/u013435893/article/details/79596628
最详细Spring Security学习资料（源码）
11-16
Spring Security是一个功能强大且高度可定制的身份验证和授权框架，专门用于保护Java应用程序的安全性。它构建在Spring Framework基础之上，提供了全面的安全解决方案，包括身份验证、授权、攻击防护等功能。 Spring...
springsecurity学习笔记
12-13
在"springsecurity学习笔记"中，你可能会涉及以下主题： - Spring Security的基本配置，包括web安全配置和全局安全配置。 - 如何自定义认证和授权流程，比如实现自定义的AuthenticationProvider和...
Spring Security学习笔记（一）
09-07
本篇学习笔记将带你走进Spring Security的世界，逐步理解并掌握其基本用法。 首先，要开始使用Spring Security，我们需要在项目中添加依赖。在Maven工程中，可以通过在`pom.xml`中引入Spring Boot的`spring-boot-...
Spring Security学习之路
02-06
在"Spring Security学习之路"这个主题中，我们将深入探讨如何使用这个框架来实现登录界面和其他安全相关的功能。 首先，Spring Security的核心是为应用程序提供认证（Authentication）和授权（Authorization）服务...
SpringSecurity框架
Mr_Jin的博客
06-20 5070
Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。提供了完善的认证机制和方法级的授权功能。是一款非常优秀的权限管理框架。它的核心是一组过滤器链，不同的功能经由不同的过滤器。这篇文章就是想通过一个小案例将Spring Security整合到SpringBoot中去。要实现的功能就是在认证服务器上登录，然后获取Token，再访问资源服务器中的资源。 对比Shiro框架来说，配置会更复杂一些，但功能更强大，Shrio安全框架上手快，配置简单。本次项目包含了：redis，mybat
SpringSecurity安全框架
CSDNlele666的博客
02-21 722
springSecurity安全框架,连接数据库,将用户权限与资源绑定
org.springframework.security.access.AccessDeniedException: 不允许访问
louis_lee7812的专栏
10-22 8156
org.springframework.security.access.AccessDeniedException: 不允许访问。原因是：@PreAuthorize 注解的异常，抛出AccessDeniedException异常，不会被accessDeniedHandler捕获，而是会被全局异常捕获。
成功解决：org.springframework.security.authentication.BadCredentialsException: Bad credentials
Jav
04-25 1万+
在使用Spring security框架时报错： 原因：密码错误 因为我们开启了加密，所以数据库中只存储了密文 使用下面的代码，计算出密文，然后将数据库中密码改为密文 public class BCryptPasswordEncoderUtils { private static BCryptPasswordEncoder bCryptPasswordEncoder = new BCryptPasswordEncoder(); public static String encodePassw
使用SpringSecurity出现程序包org.springframework.security......不存在的问题--已解决
最新发布
qq_51366518的博客
05-06 518
1：如下图：把画圈的地方勾选上，将编译托给maven来解决，使得Maven包生效，不过该方法在接下来的使用中可能会报The POM for ..............:jar:0.0.1-SNAPSHOT is missing, no dependency information available的问题。2：打开项目终端，在该终端下运行mvn idea:idea。准确的来说是在有问题的项目下运行mvn idea:idea。
spring-security报错org.springframework.beans.factory.BeanCreationException: Error creating bean解决
lilei的博客
03-18 2186
报错代码: org.springframework.beans.factory.BeanCreationException: Error creating bean with name ‘org.springframework.security.filterChains’: Cannot resolve reference to bean ‘org.springframework.security...
Spring Security学习笔记
Shawn的个人博客
05-09 2790
文章目录一、Security简介1、简介2、security框架快速搭建二、Spring Security认证1、登录校验流程2、SpringSecurity原理初探2.1 过滤器介绍2.2 认证流程详解3、SpringBoot整合前期准备3.1 思路分析3.2 数据库与框架搭建3.3 相应工具类创建4、自定义UserDetailsService5、自定义登录接口6、认证过滤器7、退出登录8、自定义认证(可选)三、Spring Security授权1、 权限系统初步介绍1.1 介绍1.2 授权基本流程1.3
spring boot中常用的安全框架 Security框架 利用Security框架实现用户登录验证token和用户授权（接口权限控制）
Json的知识梦工厂
07-23 5053
org.springframework.security.crypto.password.PasswordEncoder 接口。
Spring Security
KingCruel的专栏
01-21 758
Spring Security 1、pom.xml 文件中添加依赖 spring-boot-starter-web spring-boot-starter-security jjwt fastjson <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
springSecurity 学习
05-05
Spring Security 是一款基于 Spring 框架的安全框架，...除了以上资源之外，还可以通过实践来学习 Spring Security，例如通过搭建一个简单的 Spring Security 应用程序，逐步深入了解 Spring Security 的使用和原理。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值