spring security之应用

最新推荐文章于 2020-10-25 16:06:46 发布
最新推荐文章于 2020-10-25 16:06:46 发布
阅读量1k 收藏
点赞数
分类专栏： 常用组件 文章标签： spring security

spring security3 页面权限标签问题

<%@ taglib prefix="sec" uri="http://www.springframework.org/security/tags"%>  
  2. <sec:authorize ifAllGranted="ROLE_ADMIN,ROLE_USER">  
  3.   admin and user  
  4. </sec:authorize>  
  5.   
  6. <sec:authorize ifAnyGranted="ROLE_ADMIN,ROLE_USER">  
  7.   admin or user  
  8. </sec:authorize>  
  9.   
  10. <sec:authorize ifNotGranted="ROLE_ADMIN">  
  11.   not admin  
  12. </sec:authorize>  
  13.       
  14. ifAllGranted，只有当前用户同时拥有ROLE_ADMIN和ROLE_USER两个权限时，才能显示标签内部内容。  
  15. ifAnyGranted，如果当前用户拥有ROLE_ADMIN或ROLE_USER其中一个权限时，就能显示标签内部内容。  
  16. ifNotGranted，如果当前用户没有ROLE_ADMIN时，才能显示标签内部内容。  
  17.   
  18. <sec:accesscontrollist domainObject="${item}" hasPermission="8,16">  
  19.       <a href="message.do?action=remove&id=${item.id}">Remove</a>  
  20. </sec:accesscontrollist>  
  21.   
  22. 我们将当前显示的对象作为参数传入acl标签，然后指定判断的权限为8(删除)和16(管理)，当前用户如果拥有对这个对象的删除和管理权限时，就会显示对应的remove超链接，用户才可以通过此链接对这条记录进行删除操作。

  24. 在spring security3中提供了标签控制权限的解决方案，比如<sec:authorize url="/admin.jsp"> 如果登录用户不具有admin.jsp的访问权限，那么他将无法访问此标签体里的内容。

 


当我们自定义了spring security3 的过滤链的时候发现页面权限控制标签<sec:authorize之类的已经不能起效了,这是因为我们缺少一个必须的实例

所以找了下源码看到需要一个DefaultWebInvocationPrivilegeEvaluator决策器实例,直接配置一个实例然后注入FilterSecurityInterceptor的实例即可


  1. <!-- 页面标签权限功能依赖 -->  
  2.     <bean id="webInvocationFilter"  
  3.         class="org.springframework.security.web.access.DefaultWebInvocationPrivilegeEvaluator">  
  4.         <constructor-arg ref="filterSecurityInterceptor" />  
  5.     </bean> 

这样我们就可以在页面继续使用security的标签

  1. <%@ page language="java" pageEncoding="UTF-8"%>  
  2. <%@ taglib prefix='sec' uri='http://www.springframework.org/security/tags' %>  
  3. <%  
  4. String path = request.getContextPath();  
  5. String basePath = request.getScheme()+"://"+request.getServerName()+":"+request.getServerPort()+path+"/";  
  6. %>  
  7.   
  8. <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">  
  9. <html>  
  10.   <head>  
  11.     <base href="<%=basePath%>">  
  12.       
  13.     <title>SPRING SECURITY TEST CENTER</title>  
  14.     <meta http-equiv="pragma" content="no-cache">  
  15.     <meta http-equiv="cache-control" content="no-cache">  
  16.     <meta http-equiv="expires" content="0">      
  17.     <meta http-equiv="keywords" content="keyword1,keyword2,keyword3">  
  18.     <meta http-equiv="description" content="This is my page">  
  19.     <!--  
  20.     <link rel="stylesheet" type="text/css" href="styles.css">  
  21.     -->  
  22.   </head>  
  23.     
  24.   <body>  
  25.       用户名:<sec:authentication property="name" />, 欢迎来到主页!<br>  
  26.       拥有权限:<sec:authentication property="principal.authorities" /><br>  
  27.       是否可用:<sec:authentication property="principal.enabled" /><br>  
  28.       未被锁定:<sec:authentication property="principal.accountNonLocked" /><br>  
  29.        <sec:authorize ifAnyGranted="ROLE_SUPERVISOR">您是超级管理员,可看到该信息:(这里可以用逗号分隔，加入多个角色你拥有管理员权限)</sec:authorize><br>   
  30.        <sec:authorize url='/test.jsp'>你登陆成功了可以看到: <a href="<%=path %>/supervisor/index.jsp">管理页面</a></sec:authorize>  
  31.       <br><a href="<%=path %>/logout">注销登录</a>  
  32.   </body>  
  33. </html> 






    1. 5：完善web页面验证规则
    2. Java代码
    1. <http auto-config="true">  
    2. <intercept-url pattern="/js/**" filters="none"/>  
    3. <intercept-url pattern="/css/**" filters="none"/>  
    4. <intercept-url pattern="/images/**" filters="none"/>  
    5. <intercept-url pattern="/a.jsp" access="ROLE_A" />  
    6. <intercept-url pattern="/b.jsp" access="ROLE_B" />  
    7. <intercept-url pattern="/c.jsp" access="ROLE_A, ROLE_B" />  
    8. <intercept-url pattern="/**" access="ROLE_USER" />  
    9. </http>  
    1. Java代码   收藏代码
      1. <http auto-config="true"> <intercept-url pattern="/js/**" filters="none"/> <intercept-url pattern="/css/**" filters="none"/> <intercept-url pattern="/images/**" filters="none"/> <intercept-url pattern="/a.jsp" access="ROLE_A" /> <intercept-url pattern="/b.jsp" access="ROLE_B" /> <intercept-url pattern="/c.jsp" access="ROLE_A, ROLE_B" /> <intercept-url pattern="/**" access="ROLE_USER" /> </http>  
    1. 6：自定义验证配置
    2. Java代码
    1. <!-- 指 定登陆页面、成功页面、失败页面-->  
    2. <form-login login-page="/login.jsp" default-target-url="/index.jsp" authentication-failure-url="/login.jsp" />  
    3. <!-- 尝 试访问没有权限的页面时跳转的页面 -->  
    4. <access-denied-handler error-page="/accessDenied.jsp"/>  
    5. <!-- 使 用记住用户名、密码功能，指定数据源和加密的key -->  
    6. <remember-me data-source-ref="dataSource" />  
    7. <!-- logout 页面，logout后清除session -->  
    8. <logout invalidate-session="true" logout-success-url="/login.jsp" />  
    9. <!-- session 失 效后跳转的页面，最大登陆次数 -->  
    10. <session-management invalid-session-url="/sessionTimeout.htm">  
    11. <concurrency-control max-sessions="1" expired-url="/sessionTimeout.htm" />  
    12. </session-management>  
    13. </http>  
    14. 可 以使用SS自带的登陆页面作为login.jsp的模板  
    1. Java代码   收藏代码
      1. <http auto-config="true"> <!-- 指定登陆页面、成功页面、失败页面--> <form-login login-page="/login.jsp" default-target-url="/index.jsp" authentication-failure-url="/login.jsp" /> <!-- 尝试访问没有权限的页面时跳转的页面 --> <access-denied-handler error-page="/accessDenied.jsp"/> <!-- 使用记住用户名、密码功能，指定数据源和加密的key --> <remember-me data-source-ref="dataSource" /> <!-- logout页面，logout后清除session --> <logout invalidate-session="true" logout-success-url="/login.jsp" /> <!-- session 失效后跳转的页面，最大登陆次数 --> <session-management invalid-session-url="/sessionTimeout.htm"> <concurrency-control max-sessions="1" expired-url="/sessionTimeout.htm" /> </session-management> </http> 可以使用SS自带的登陆页面作为login.jsp的模板  
    1. 7：本地化消息输出
      拷贝本地化资源文件后，在配置文件中加载该文件：
    2. Java代码
    1. <!-- 加 载错误信息资源文件 -->  
    2. <beans:bean id="messageSource"   
    3. class="org.springframework.context.support.ReloadableResourceBundleMessageSource">  
    4. <beans:property name="basename" value="classpath:messages"/>  
    5. </beans:bean>  
    6. 资 源文件在SS核心包：spring-security-core-3.0.2.RELEASE.jar的orgspringframeworksecurity目录 中  
    1. Java代码   收藏代码
      1. <!-- 加载错误信息资源文件 --> <beans:bean id="messageSource"  class="org.springframework.context.support.ReloadableResourceBundleMessageSource"> <beans:property name="basename" value="classpath:messages"/> </beans:bean> 资源文件在SS核心包：spring-security-core-3.0.2.RELEASE.jar的orgspringframeworksecurity目录中  
    1. 8：在web页面中获取用户信息
    2. Java代码
    1. 方式 一：Java代码  
    2. Authentication auth = SecurityContextHolder.getContext().getAuthentication();  
    3. Collection<GrantedAuthority> col = auth.getAuthorities();  
    4. 方 式二：标签库  
    5. <%@ taglib prefix="sec" uri="http://www.springframework.org/security/tags" %>  
    6. <sec:authentication property="name“/>  
    7. <sec:authentication property="authorities“/>  
    1. Java代码   收藏代码
      1. 方式一：Java代码 Authentication auth = SecurityContextHolder.getContext().getAuthentication(); Collection&lt;GrantedAuthority> col = auth.getAuthorities(); 方式二：标签库 &lt;%@ taglib prefix="sec" uri="http://www.springframework.org/security/tags" %> <sec:authentication property="name“/> <sec:authentication property="authorities“/>  
    1. 9：在web页面进行元素安全控制
    2. Java代码
    1. 方式一  
    2. <sec:authorizeifAnyGranted="ROLE_A">  
    3. <a href="a.jsp">你可以访问a.jsp</a>  
    4. </sec:authorize>  
    5. <sec:authorizeifNotGranted="ROLE_A">  
    6. 你 不可以访问a.jsp  
    7. </sec:authorize>  
    8. 方 式二  
    9. <sec:authorizeurl="/a.jsp">  
    10. <a href="a.jsp">你可以访问a.jsp</a>  
    11. </sec:authorize>  
    1. Java代码   收藏代码
      1. 方式一 <sec:authorizeifAnyGranted="ROLE_A"> <a href="a.jsp">你可以访问a.jsp</a> </sec:authorize> <sec:authorizeifNotGranted="ROLE_A"> 你不可以访问a.jsp </sec:authorize> 方式二 <sec:authorizeurl="/a.jsp"> <a href="a.jsp">你可以访问a.jsp</a> </sec:authorize>  
    1. 10：全局方法安全控制
    2. Java代码
    1. <global-method-security pre-post-annotations="enabled">  
    2. <protect-pointcut expression="execution(* com.xasxt.*Service.add*(..))" access="ROLE_A"/>  
    3. <protect-pointcut expression="execution(* com.xasxt.*Service.delete*(..))" access="ROLE_B"/>  
    4. </global-method-security>  
    5. 此 处使用了AspectJ中常用的切入点表达式（百度：AspectJ execution）  
    1. Java代码   收藏代码
      1. <global-method-security pre-post-annotations="enabled"> <protect-pointcut expression="execution(* com.xasxt.*Service.add*(..))" access="ROLE_A"/> <protect-pointcut expression="execution(* com.xasxt.*Service.delete*(..))" access="ROLE_B"/> </global-method-security> 此处使用了AspectJ中常用的切入点表达式（百度：AspectJ execution）  
    1. 11：使用注解进行方法安全控制
    2. Java代码
    1. public class DemoService {  
    2. @PreAuthorize("hasRole(&apos;ROLE_A&apos;)")  
    3. public void methodA() {  
    4. }  
    5. @PreAuthorize("hasAnyRole(&apos;ROLE_A, ROLE_B&apos;)")  
    6. public void methodB() {  
    7. }  
    8. }  
    9. hasRole 与hasAnyRole为SS通用内置表达式（google : spring security Common Built- In Expressions） 


freemarker 使用spring security标签进行权限判断以及错误解决
老汪的技术人生
04-17 1万+
freemarker  使用spring security标签进行权限判断，配置起来非常简单。 网上有很多例子，简单配置步骤如下：  pom.xml 中加入spring security支持 org.springframework.security spring-security-taglibs
基于角色得后台权限管理系统设计（三、spring security 之过滤器（详解）
a807719447的专栏
06-24 530
spring security 提供大量得过滤器对系统资源进行保护 以下介绍主要过滤器以及顺序 一、WebAsyncManagerIntegrationFilter 将Security上下文与Spring Web中用于处理异步请求映射的 WebAsyncManager 进行集成 二、SecurityContextPersistenceFilter 在每次请求处理之前将该请求相关的安全上下...
《Spring Security3》第五章第二部分翻译上（实现授权精确控制的方法——页面级权限）
soo的专栏
12-23 428
实现授权精确控制的方法   精确的授权指的是基于用户特定的请求进行授权的应用功能特性。不同于我们在第二章：Spring Security起步、第三章增强用户体验和第四章凭证安全存储中的粗粒度的授权，精确的授权一般指的是对页面中的部分进行选择性显示的功能，而不是限制访问一个完整的页面。现实世界中的应用将会花费可观的时间用在规划精确授权的细节上。          Spring Security
spring security的权限页面标签可以根据 ifAnyGranted="ROLE_SYSTEM" 这个不同的权限觉得在<sec:authorize的作用不作用，就相当于c:if标签的作用
香帅的博客
10-15 3106
详解springSecurity之java配置篇
08-18
Spring Security 之 Java 配置篇 Spring Security 是一个功能强大且灵活的安全框架...我们可以使用 Spring Security 之 Java 配置篇来保护基于 Java 的 Web 应用程序，包括自定义登陆页面、使用多用户、过滤器顺序等。
Spring Security in Action
11-22
* 广泛的应用场景：Spring Security 可以应用于多种应用场景，例如 web 应用、后台服务等。 * 高度可配置性：Spring Security 的配置项非常灵活，可以根据实际需求进行配置。 Spring Security 是一个功能强大且灵活...
SpringSecurity应用
08-18
**Spring Security 应用详解** Spring Security 是一个强大的和高度可定制的身份验证和访问控制框架，用于保护基于 Java 的应用程序。它提供了全面的安全解决方案，包括登录、授权、会话管理以及防止常见攻击等功能...
Spring Security应用
zhouhaihua57410的博客
09-23 183
核心接口UserDetailService public interface UserDetailsService { UserDetails loadUserByUsername(String var1) throws UsernameNotFoundException; } 自定义MyUserService实现UserDetailsService,重写loadUserByUserna...
SpringSecurity笔记，编程不良人笔记
10-28
SpringSecurity是Java领域中一款强大的安全框架，主要用于Web应用程序的安全管理。它提供了全面的身份验证、授权、会话管理以及安全相关的功能，可以帮助开发者构建安全的Web应用。在本笔记中，我们将深入探讨Spring...
spring security3.x学习(20)_初探authorize标签和第四个例子
雷哥AI工程化
09-21 1851
第四个例子也就是spring security3那本书中的第五章的例子。 csdn下载：http://download.csdn.net/detail/dulei294948/6295933（包含完整的jar包） 突然想说个闲事啊。做java或者什么都行，但是必须要学一下uml设计。因为又一个很好的uml设计才能表达更多的想法。。 分享一个同事推荐给我的书：http://downlo
使用Spring Security实现权限管理
一条宝鱼的专栏
03-16 1082
使用Spring Security实现权限管理   1、技术目标     了解并创建Security框架所需数据表为项目添加Spring Security框架掌握Security框架配置应用Security框架为项目的CRUD操作绑定权限     注意：本文所用项目为"影片管理"，参看 http://hotstrong.iteye.com/blog/1156785   2
Spring Security中<@security.authorize的使用
xiaosongwahaha的博客
01-01 1714
系统使用Spring Security登录验证时会把用户的角色信息也带入，例如用户以管理员的帐号登录时角色为ROLE_ADMIN，这时可以利用 首先引入依赖          org.springframework.security          spring-security-taglibs          3.1.4.RELEASE    
sec:authorize-url标签不生效问题
日月忽其不淹兮，春与秋其代序 认知即成长
07-20 2242
问题描述：         我这里的项目使用spring cloud+thymeleaf+spring security，使用的thymeleaf和spring security整合的标签，网上的解决方法很多，很简单 sec:authorize="hasRole('ROLE_ADMIN')" 标签可以生效，但是我想控制button的显示与隐藏， sec:authorize-url 无效，下
springSecurity 中为什么 sec:authorize-url 不起作用
beixianchen的专栏
11-17 3192
最近又看起了 springSecurity ，想起了之前遇到的一个关于页面标签的诡异问题：sec:authorize="hasRole('ADMIN')" 可以正确判断，从而正确控制相应的内容显示不显示，但是到了用 sec:authorize-url="/test" 的时候，就不受控制了。对应的链接无论当前用户有没有权限，相应的内容都会显示在页面上。经过了某度上你抄我我抄你，千篇一律的错误答案之后...
Spring Security 的实际应用
tttttt521的博客
10-25 889
任何一个网站在开始之前都应该要考虑到安全。主要都分为两个功能：验证和鉴权。验证就是确认用户的身份，一般采用用户名和密码的形式；鉴权就是确认用户拥有的身份（角色、权限）能否访问受保护的资源。 SpringSecurity是针对Spring项目的安全框架，也是Spring Boot底层安全模块默认的技术，可以实现强大的web安全控制。只需要引入spring-boot-starter-security模块，进行少量的配置就可实现强大的安全管理 两个主要目标 认证和授权 搭好框架 @EnableWebSe
最详细Spring Security学习资料（源码）
最新发布
11-16
Spring Security是一个功能强大且高度可定制的身份验证和授权框架，专门用于保护Java应用程序的安全性。它构建在Spring Framework基础之上，提供了全面的安全解决方案，包括身份验证、授权、攻击防护等功能。 Spring...
Spring Security 4.2注意事项
海洋之心
10-23 1295
Spring Security 3.2.6.RELEASE 升级到 4.2.3.RELEASE 踩了些坑，记录一下： 1、ifAnyGranted标签取消，使用代替。 2、登录表单字段名修改： j_username -> username j_password -> password _spring_security_remember_me -> remember-me 3、Sprin
关于Spring Security 3获取用户信息的问题
热门推荐
GeneralYY0的专栏
01-05 1万+
原文：http://blog.csdn.net/jjk_02027/article/details/6544889 Spring Security 3取不到用户信息的问题 不是惹的祸| 而是你没有真正的掌握spring sercurity3、没有真正的理解 也许你遇到过这样的问题： 1：在Servlet中使用SecurityContextHolder怎
自定义过滤器时，不能再使用<sec:authorize url="">问题
要耐得住寂寞
11-24 418
需要添加applicationContext-security.xml文件中添加以下配置 [code="xml"] [/code] 其中myFilterSecurityInterceptor为自定义扩展的AbstractSecurityInterceptor 另外一个关键的地方时以上的配置文件必须在 [code="xml"][/code] 配...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值