Spring Security

最新推荐文章于 2024-10-14 20:53:59 发布

哆啦 V 梦

最新推荐文章于 2024-10-14 20:53:59 发布

阅读量974

点赞数 29

文章标签： java spring

本文链接：https://blog.csdn.net/m0_73500209/article/details/136467770

版权

本文介绍了如何将SpringSecurity从传统的前后端混合模式改造为前后端分离架构，通过替换默认的实现，使得所有交互均通过JSON返回，包括登录、登出、错误处理等，并详细展示了关键扩展点的重写过程。

摘要由CSDN通过智能技术生成

Spring Security 现状
我们在 SpringSecurity入门篇，快速搭建一个安全Web服务已经搭建了一个基本的示例。其中的关键的流程如下：

当未登录用户访问项目时，会重定向到登录页（/login）。
登录成功后，会重定向到首页（也就是 / 路径）。
登录失败的话，会重定向到登录页。
登出后，会重定向到登录页。
登录后，鉴权失败（访问权限不足）时，会返回403响应。
可以看出来，这妥妥的很不’前后端分离’，后端还会返回html页面并且各种重定向。好在 Spring Security 扩展性足够好，支持替换默认的实现，下文便来掰扯掰扯。

Spring Security 前后端分离改造
前后端分离的要点就是，后端的响应统一通过 JSON 格式返回，而不是html或者重定向。基于这个出发点，我们将替换原有的实现类。

定义统一的响应格式
改造的第一点，则是定义一个统一的响应格式：

统一的响应格式
@Data
@Accessors(chain = true)
public class RestResult<T> {

private int code;
private T data;
private String msg;

private RestResult() {
}

public static RestResult success() {
return new RestResult().setCode(200);
}

public static RestResult success(Object data) {
return success().setData(data);
}

public static RestResult error() {
return new RestResult().setCode(500);
}

public static RestResult error(String errMsg) {
return error().setMsg(errMsg);
}

public static RestResult error(int code, String errMsg) {
return new RestResult().setCode(code).setMsg(errMsg);
}

public static RestResult error(Exception ex) {
return error(ex.getMessage());
}

public String toJsonString() {
return JsonUtils.toJsonString(this);
}

}

重写默认实现，并替换（重点）
涉及到的扩展点：

登录成功处理：AuthenticationSuccessHandler
登录失败处理：AuthenticationFailureHandler
登出成功处理：LogoutSuccessHandler
未登录处理：AuthenticationEntryPoint
鉴权失败处理：AccessDeniedHandler
注意看代码中的注释，改造点对应上文中提到的原有流程的序号！

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.anyRequest().authenticated()
.and()

// 表单登录
.formLogin()
// 登录成功处理（对应流程2）
.successHandler(new AuthenticationSuccessHandler() {
@Override
public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
response.setContentType("application/json;charset=utf-8");
response.getWriter().write(RestResult.success().toJsonString());
}
})
// 登录失败处理（对应流程3）
.failureHandler(new AuthenticationFailureHandler() {
@Override
public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
response.setContentType("application/json;charset=utf-8");
response.getWriter().write(RestResult.error(exception).toJsonString());
}
})
.and()

//登出
.logout()
//登出成功处理（对应流程4）
.logoutSuccessHandler(new LogoutSuccessHandler() {
@Override
public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
response.setContentType("application/json;charset=utf-8");
response.getWriter().write(RestResult.success().toJsonString());
}
})
.and()

//异常处理
.exceptionHandling()
//未登录处理（对应流程1）
.authenticationEntryPoint(new AuthenticationEntryPoint() {
@Override
public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
response.setContentType("application/json;charset=utf-8");
response.getWriter().write(RestResult.error(HttpServletResponse.SC_UNAUTHORIZED, "未登录").toJsonString());
}
})
//没有权限处理（对应流程5）
.accessDeniedHandler(new AccessDeniedHandler() {
@Override
public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException, ServletException {
response.setContentType("application/json;charset=utf-8");
response.getWriter().write(RestResult.error(HttpServletResponse.SC_FORBIDDEN, "没有权限").toJsonString());
}
})
.and()
.csrf().disable();
}