JavaEE（21）SpringBoot--SpringSecurity

最新推荐文章于 2024-08-20 15:12:44 发布
最新推荐文章于 2024-08-20 15:12:44 发布
阅读量233 收藏
点赞数
文章标签： java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/nswzr/article/details/113899253
版权

1. SpringSecurity

1. 介绍：SpringSecurity基于Spring框架，提供了一套Web应用安全性的完整解决方案。一般来说，Web 应用的安全性包括用户认证（Authentication）和用户授权（Authorization）两个部分。用户认证指的是验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认证过程。用户授权指的是验证某个用户是否有权限执行某个操作

2. 优点：对于上面提到的两种应用情景，SpringSecurity框架都有很好的支持。在用户认证方面，SpringSecurity 框架支持主流的认证方式，包括HTTP基本认证、HTTP表单验证、HTTP摘要认证、OpenID和LDAP等。在用户授权方面，SpringSecurity提供了基于角色的访问控制和访问控制列表（Access Control List，ACL），可以对应用中的领域对象进行细粒度的控制

3. 搭建实验环境
（1）创建初始的springboot项目，导入web以及thymeleaf
（2）导入静态资源
（3）Controller

@Controller
public class RouterController {

    @RequestMapping({"/","/index"})
    public String index(){
        return "index";
    }

    @RequestMapping("/toLogin")
    public String toLogin(){
        return "views/login";
    }

    @RequestMapping("/level1/{id}")
    public String level1(@PathVariable("id")int id){
        return "views/level1/"+id;
    }

    @RequestMapping("/level2/{id}")
    public String level2(@PathVariable("id")int id){
        return "views/level2/"+id;
    }

    @RequestMapping("/level3/{id}")
    public String level3(@PathVariable("id")int id){
        return "views/level3/"+id;
    }

}

（4）测试跳转

4. 集成SpringBoot
（1）重要的类

1. WebSecurityConfigurerAdapter：自定义Security策略
2. AuthenticationManagerBuilder：自定义认证策略
3. @EnableWebSecurity：开启WebSecurity模式

SpringSecurity的两个目标是“认证”，“授权”

（2）导入SpringSecurity依赖

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

（3）编写基础的配置类：package com.nelws.config;

@EnableWebSecurity  //开启WebSecurity模式
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        
    }
}

5. 认证和授权
（1）定制请求的授权规则

@EnableWebSecurity  //开启WebSecurity模式
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //定制请求的授权规则
        http.authorizeRequests().antMatchers("/").permitAll()  //首页所有人可以访问
                .antMatchers("/level1/**").hasRole("vip1")
                .antMatchers("/level2/**").hasRole("vip2")
                .antMatchers("/level3/**").hasRole("vip3");
    }
}

在这里插入图片描述

（2）测试，发现除了首页都进不去了，因为我们目前没有登陆的角色，因为请求需要登录的角色拥有对应的权限才可以
（3）在configure()方法中开启自动配置的登录功能

@EnableWebSecurity  //开启WebSecurity模式
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //定制请求的授权规则
        http.authorizeRequests().antMatchers("/").permitAll()  //首页所有人可以访问
                .antMatchers("/level1/**").hasRole("vip1")
                .antMatchers("/level2/**").hasRole("vip2")
                .antMatchers("/level3/**").hasRole("vip3");



        //开启自动配置的登录功能
        //  /login：请求来到登录页
        //  /login?error：重定向到这里表示登陆失败
        http.formLogin();
    }
}

在这里插入图片描述

（4）测试，发现没有权限的时候，会自动跳到登录页面
在这里插入图片描述
（5）定义访问权限：重写configure(AuthenticationManagerBuilder auth)方法

@EnableWebSecurity  //开启WebSecurity模式
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //定制请求的授权规则
        http.authorizeRequests().antMatchers("/").permitAll()  //首页所有人可以访问
                .antMatchers("/level1/**").hasRole("vip1")
                .antMatchers("/level2/**").hasRole("vip2")
                .antMatchers("/level3/**").hasRole("vip3");



        //开启自动配置的登录功能
        //  /login：请求来到登录页
        //  /login?error：重定向到这里表示登陆失败
        http.formLogin();
    }

    //定义访问权限
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //在内存中定义，也可以从jdbc拿
        auth.inMemoryAuthentication()
                .withUser("wang").password("123456").roles("vip2","vip3")
                .and()
                .withUser("root").password("123456").roles("vip1","vip2","vip3")
                .and()
                .withUser("guest").password("123456").roles("vip1");
    }
}

在这里插入图片描述
（6）使用账号进行登录测试，发现会报错，原因是没有对用户的密码进行加密
在这里插入图片描述
（7）对用户密码进行加密

@EnableWebSecurity  //开启WebSecurity模式
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //定制请求的授权规则
        http.authorizeRequests().antMatchers("/").permitAll()  //首页所有人可以访问
                .antMatchers("/level1/**").hasRole("vip1")
                .antMatchers("/level2/**").hasRole("vip2")
                .antMatchers("/level3/**").hasRole("vip3");



        //开启自动配置的登录功能
        //  /login：请求来到登录页
        //  /login?error：重定向到这里表示登陆失败
        http.formLogin();
    }

    //定义访问权限
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //在内存中定义，也可以从jdbc拿
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())
                .withUser("wang").password(new BCryptPasswordEncoder().encode("123456")).roles("vip2","vip3")
                .and()
                .withUser("root").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1","vip2","vip3")
                .and()
                .withUser("guest").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1");
    }
}

在这里插入图片描述
（8）再次测试，发现每个角色只能访问认证规则下的页面

6. 控制权限和注销
（1）开启自动配置的注销功能

@EnableWebSecurity  //开启WebSecurity模式
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //定制请求的授权规则
        http.authorizeRequests().antMatchers("/").permitAll()  //首页所有人可以访问
                .antMatchers("/level1/**").hasRole("vip1")
                .antMatchers("/level2/**").hasRole("vip2")
                .antMatchers("/level3/**").hasRole("vip3");



        //开启自动配置的登录功能
        //  /login：请求来到登录页
        //  /login?error：重定向到这里表示登陆失败
        http.formLogin();

        //注销请求
        http.logout();
    }

    //定义访问权限
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //在内存中定义，也可以从jdbc拿
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())
                .withUser("wang").password(new BCryptPasswordEncoder().encode("123456")).roles("vip2","vip3")
                .and()
                .withUser("root").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1","vip2","vip3")
                .and()
                .withUser("guest").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1");
    }
}

在这里插入图片描述

（2）在前端增加注销按钮
在这里插入图片描述

（3）进行测试，登陆成功后点击注销，返回到登录页面
（4）想让他注销成功后返回首页

@EnableWebSecurity  //开启WebSecurity模式
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //定制请求的授权规则
        http.authorizeRequests().antMatchers("/").permitAll()  //首页所有人可以访问
                .antMatchers("/level1/**").hasRole("vip1")
                .antMatchers("/level2/**").hasRole("vip2")
                .antMatchers("/level3/**").hasRole("vip3");



        //开启自动配置的登录功能
        //  /login：请求来到登录页
        //  /login?error：重定向到这里表示登陆失败
        http.formLogin();

        //注销请求
        http.logout().logoutSuccessUrl("/");
    }

    //定义访问权限
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //在内存中定义，也可以从jdbc拿
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())
                .withUser("wang").password(new BCryptPasswordEncoder().encode("123456")).roles("vip2","vip3")
                .and()
                .withUser("root").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1","vip2","vip3")
                .and()
                .withUser("guest").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1");
    }
}

在这里插入图片描述
（5）新加一个需求：用户没有登陆的时候，导航栏只有登录按钮，用户登录之后，导航栏显示用户的信息以及注销按钮。还有，比如guest用户，只有vip1的功能，那么在登陆后只显示vip1的功能

结合thymeleaf中的功能
sec：authorize="isAuthenticated()":是否认证登录！来显示不同的页面
添加maven依赖
<dependency>
    <groupId>org.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-springsecurity5</artifactId>
    <version>3.0.4.RELEASE</version>
</dependency>
  • 修改前端页面
<html lang="en" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5">

			<!--登录注销-->
            <div class="right menu" >

                <!--未登录-->
                <div sec:authorize="!isAuthenticated()">
                    <a class="item" th:href="@{/toLogin}">
                        <i class="address card icon"></i> 登录
                    </a>
                </div>

                <!--如果已登陆-->
                <div sec:authorize="isAuthenticated()">
                    <a class="item">
                        <i class="address card icon"></i>
                        用户名：<span sec:authentication="principal.username"></span>
                        角色：<span sec:authentication="principal.authorities"></span>
                    </a>
                </div>

                <!--注销-->
                <div sec:authorize="isAuthenticated()">
                    <a class="item" th:href="@{/logout}">
                        <i class="address card icon"></i> 注销
                    </a>
                </div>

            </div>

在这里插入图片描述
（6）测试
在这里插入图片描述
（7）如果注销出现404页面，在springsecurity中关闭csrf功能
在这里插入图片描述

（7）继续修改前端页面，显示角色功能块

		<div class="ui three column stackable grid">
            <div class="column" sec:authorize="hasRole('vip1')">
                <div class="ui raised segment">
                    <div class="ui">
                        <div class="content">
                            <h5 class="content">Level 1</h5>
                            <hr>
                            <div><a th:href="@{/level1/1}"><i class="bullhorn icon"></i> Level-1-1</a></div>
                            <div><a th:href="@{/level1/2}"><i class="bullhorn icon"></i> Level-1-2</a></div>
                            <div><a th:href="@{/level1/3}"><i class="bullhorn icon"></i> Level-1-3</a></div>
                        </div>
                    </div>
                </div>
            </div>

            <div class="column" sec:authorize="hasRole('vip2')">
                <div class="ui raised segment">
                    <div class="ui">
                        <div class="content">
                            <h5 class="content">Level 2</h5>
                            <hr>
                            <div><a th:href="@{/level2/1}"><i class="bullhorn icon"></i> Level-2-1</a></div>
                            <div><a th:href="@{/level2/2}"><i class="bullhorn icon"></i> Level-2-2</a></div>
                            <div><a th:href="@{/level2/3}"><i class="bullhorn icon"></i> Level-2-3</a></div>
                        </div>
                    </div>
                </div>
            </div>

            <div class="column" sec:authorize="hasRole('vip3')">
                <div class="ui raised segment">
                    <div class="ui">
                        <div class="content">
                            <h5 class="content">Level 3</h5>
                            <hr>
                            <div><a th:href="@{/level3/1}"><i class="bullhorn icon"></i> Level-3-1</a></div>
                            <div><a th:href="@{/level3/2}"><i class="bullhorn icon"></i> Level-3-2</a></div>
                            <div><a th:href="@{/level3/3}"><i class="bullhorn icon"></i> Level-3-3</a></div>
                        </div>
                    </div>
                </div>
            </div>

        </div>

在这里插入图片描述
（8）测试：例如我现在登录wang这个角色，只有vip2，vip3的权限
在这里插入图片描述

7. 记住我与定制登录页
（1）记住我：原理：登录成功后，将cookie发送给浏览器保存，以后登录带上这个cookie，只要通过检查就可以免登录了。如果点击注销，则会删除这个cookie
在这里插入图片描述
（2）定制登录页

  • 在登陆配置设定
    在这里插入图片描述

  • 前端也要指向自己定义的login请求
    在这里插入图片描述

  • 在login页面，提交方式必须是post
    在这里插入图片描述

  • 在登录页加上记住我选项
    在这里插入图片描述

  • 后端验证处理
    在这里插入图片描述

wzr-xupt
关注
Spring Sercurity在Spring Boot 中的使用
ywn0601的博客
01-11 635
Spring Security的使用
JavaEE课程设计-----基于SpringBoot、Maybatis实现网上书城.zip
12-29
【标题】"JavaEE课程设计-----基于SpringBoot、Mybatis实现网上书城"是一个实践项目，旨在教授学生如何使用Java企业级开发技术构建一个在线图书销售平台。该项目选择了SpringBoot和Mybatis作为主要的技术栈，这两大...
springboot之SpringSercurity安全框架
qq_48608598的博客
02-08 412
一、 简介 spring security 的核心功能主要包括： 认证 （你是谁） 授权 （你能干什么） 攻击防护 （防止伪造身份） 权限管理：功能权限，访问权限，菜单权限，拦截器，过滤器等等 spring security是 Spring 项目组中用来提供安全认证服务的框架。其核心就是一组过滤器链，项目启动后将会自动配置。最核心的就是 Basic Authentication Filter 用来认证用户的身份，一个在spring security中一种过滤器处理一种认证方式。 二、 记住几个类： W
Java 21 HttpClient 关闭SSL验证
最新发布
代码大兵
08-20 267
使用HttpClient发起https请求时，临时禁用SSL和主机名验证的方法。
springsercurity
qq_44833327的博客
06-07 887
安全框架
SpringSercurity
HappyProgrammer的博客
02-21 491
SpringSecurity 权限设计 库表 Spring Security 必须跟Spring集成且只能在Web环境下运行。 Shiro相对独立，有自己的Ini配置（类似于Spring中的xml配置），且不仅可以在Web环境下运行还可以在非Web环境下运行。 RBAC（Role-Based Access Control，基于角色的访问控制），就是用户通过角色与权限进行关联。简单地说，一个用...
SpringSecurity
iiiis的博客
08-31 1189
::: tip SpringSecurity是什么Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。Spring Security致力于为Java应用程序提供身份验证和授权的能力。像所有Spring项目一样，Spring Security的真正强大之处在于它可以轻松扩展以满足定制需求的能力。::: 2.创建接口 3.访问接口 ​ 2.通过创建配置类实现设置 3.编写自定义实现类（常用） 第一步：编写UserDetailsService实现类，可以从数据库中获取用户
springboot-examples
05-26
它集成了大量常用的JavaEE组件，如数据访问、安全、WebSocket等，并提供了自动配置功能，使得开发者可以快速创建独立运行的、生产级别的基于Spring的应用。 2. **项目结构** "springboot-examples"项目是一个典型...
JavaEE求职简历-姓名-JAVA开发工程师.doc
06-03
- **松果优品项目**：这是一个基于B2C电商平台的创新项目，采用微服务架构，包含多个服务，如管理员服务、用户服务等，技术栈包括SpringBoot、SpringCloud、Ibatis等。 - **核心技术应用**： - 使用Spring ...
javaee-spring-boot-doaction:（JavaEE开发的颠覆者Spring Boot实战）spring-boot实战随书源码—汪云飞
03-23
《JavaEE开发的颠覆者Spring Boot实战》是汪云飞所著的一本关于Spring Boot的实战书籍，书中深入浅出地介绍了如何使用Spring Boot来构建高效、简洁的JavaEE应用程序。Spring Boot作为现代化的Java开发框架，极大地...
SpringBoot2-JavaEE11-DemoProject
03-20
【SpringBoot2-JavaEE11-DemoProject】是一个基于Spring Boot 2和Java EE 11的示例项目，旨在展示如何将这两个强大的框架整合使用，以构建现代、高效的企业级应用程序。该项目的核心目标是简化开发流程，提高开发...
spring security中文版
11-22
本书的写作遵循了这样的一个开发模式,这个模式我们感觉提供了一个有用的前提来解决复杂的话题—— 即使用一个基于Spring3的web工程作为基础,以理解使用Spring Security3使其保证安全的概念和策略。 不管你是不是已经使用Spring Security还是只是对这个软件有兴趣,就都会在本书中得到有用的信息。 在本节的内容中,你能够: l 检查一个虚拟安全审计的结果 l 讨论web应用通常的一些安全问题 l 学习软件安全中的几个核心词汇和概念
权限控制与安全认证 Spring Security
张锦的博客
06-11 903
仅为个人学习使用。
关于SpringBoot整合Security认证授权的使用和介绍；
gzx233的博客
07-27 787
整合Security的旧版和新版的区别和使用,密码加密器,自定义账号密码,多用户,修改登录页,获取当前用户信息等..
Spring Security 详解
阿水的博客
03-28 1410
Spring Security 是 Spring家族中的一个安全管理框架。相比与另外一个安全框架Shiro，它提供了更丰富的功能，社区资源也比Shiro丰富。
JAVA学习篇——Spring Boot Security
zhang19971014的博客
04-20 8470
1. 关于Spring Boot Security Spring Boot Security是在Spring Boot中使用的，基于Spring Security的依赖项，其本质就是Spring Security框架加上了应用于Spring Boot工程的自动配置。 Spring Security是一款主要解决了认证和授权相关处理的安全框架。 认证：验证用户的身份，例如在登录过程中验证用户名与密码是否匹配。 授权：使得用户允许访问服务器端的某些资源，或禁止访问某些资源，例如管理员可以执行一些数据删除
Spring Security详解
热门推荐
JAVA_KX的博客
05-15 2万+
AuthenticationManager进行认证时，将该认证管理器中的所有认证提供器遍历一遍，遍历过程中，首先检测认证提供器是否支持认证的票据类型，如果支持，则认证提供器开始进行认证。用于处理基于表单的登录请求，从表单中获取用户名和密码，默认情况下处理来自/login的请求，从表单中获取用户名和密码， 默认使用表单name值为username和password，这两个值可以通过这个过滤器的usernaemparamter个passwordParameter连个参数的值进行修改。
SpringSercurity笔记
球球你被学了的博客
08-24 1030
SpringSercurity 1. 概述 1. 简介 Spring Security 是一个专注于为 Java 应用程序提供身份验证和授权的框架。与所有 Spring 项目一样，Spring Security 的真正强大之处在于它可以轻松扩展以满足自定义要求。 特点： 对身份验证和授权的全面且可扩展的支持 防止会话固定、点击劫持、跨站点请求伪造等攻击 Servlet API 集成 与 Spring Web MVC 的可选集成 2. 安全方面两大核心 用户认证（Authentication） 验证某个用
spring sercurity
星星_月亮的光芒
10-25 627
http://www.blogjava.net/redhatlinux/archive/2008/08/20/223148.html http://shmily2038.iteye.com/blog/1114714
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值