SpringSecurity（02）——自定义登录和退出处理器

已于 2024-09-08 18:31:47 修改
阅读量1.3k 收藏 22
点赞数 24
分类专栏： SpringSecurity 文章标签： java spring
于 2024-01-13 10:18:51 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/peng_gx/article/details/135566447
版权

自定义登录页面

http.formLogin()

  1. loginPage(String loginPage)：设置用户登录页面的访问路径，默认为 GET 请求的 /login。
  2. loginProcessingUrl(String loginProcessingUrl)：设置登录表单提交的路径，默认为是 POST 请求的 loginPage() 设置的路径
  3. successForwardUrl(String forwordUrl)：设置用户认证成功后转发的地址。
  4. successHandler(AuthenticationSuccessHandler successHandler)：配置用户认证成功后的自定义处理器。
  5. defaultSuccessUrl(String defaultSuccessUrl)：设置用户认证成功后重定向的地址。这里需要注意，该路径是用户直接访问登录页面认证成功后重定向的路径，如果是其他路径跳转到登录页面认证成功后会重定向到原始访问路径。可设置第二个参数为 true，使认证成功后始终重定向到该地址。
  6. failureForwrad(String forwardUrl)：设置用户认证失败后转发的地址。
  7. failureHandler(AuthenticationFailureHandler authenticationFailureHandler)：设置用户登录失败后的自定义错误处理器。
  8. failureUrl(String authenticationFailureUrl)：设置用户登录失败后重定向的地址，指定的路径要能匿名访问，默认为loginPage() + ?error。
  9. usernameParamter(String usernameParamter)：设置登录表单中的用户名参数，默认为 username。
  10. passwordParamter(String passwordParamter)：设置登录表单中的密码参数，默认为 password。
<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>登录</title>
</head>
<body>
<form class="login-page" action="/login" method="post">
    <div class="form">
        <h3>账户登录</h3>
        <input type="text" placeholder="用户名" name="username" required="required" />
        <input type="password" placeholder="密码" name="password" required="required" />
        <button type="submit">登录</button>
    </div>
</form>
</body>
</html>

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        /**
         * fromLogin()：表单认证
         * httpBasic()：弹出框认证
         * authorizeRequests()：身份认证请求
         * anyRequest()：所有请求
         * authenticated()：身份认证
         * loginPage()：登录页面地址
         * loginProcessingUrl()：登录表单提交地址
         * csrf().disable()：关闭Spring Security的跨站请求伪造的功能
         */
        http.csrf().disable()
                .formLogin()
                .loginPage("/login.html")
                .loginProcessingUrl("/login")
                .and()
                .authorizeRequests()
                .antMatchers("/login.html").permitAll()
                .anyRequest()
                .authenticated();
    }
}

注意：SpringBoot项目集成Spring Security 5.3.4RELEASE后，默认情况crsf是开启的。每次请求会校验请求头中 X-CSRF-TOKEN 的值与内存中保存的是否一致，如果一致框架则认为登录页面是安全的，如果不一致，会报403。

@Controller
public class LoginController {

    @RequestMapping("/login.html")
    public String login(){
        return "login";
    }

    @RequestMapping("/test")
    @ResponseBody
    public String test(){
        return "test";
    }
}

  1. 转发
http.formLogin()
    .usernameParameter("name") // 设置请求参数中，用户名参数名称。 默认username
    .passwordParameter("pswd") // 设置请求参数中，密码参数名称。 默认password
    .loginPage("/toLogin") // 当用户未登录的时候，跳转的登录页面地址是什么？ 默认 /login
    .loginProcessingUrl("/login") // 用户登录逻辑请求地址是什么。 默认是 /login
    .failureForwardUrl("/failure"); // 登录失败后，请求转发的位置。Security请求转发使用Post请求。默认转发到：loginPage?error
    .successForwardUrl("/toMain"); // 用户登录成功后，请求转发到的位置。Security请求转发使用POST请求。
  1. 重定向
http.formLogin()
    .usernameParameter("name") // 设置请求参数中，用户名参数名称。 默认username
    .passwordParameter("pswd") // 设置请求参数中，密码参数名称。 默认password
    .loginPage("/toLogin") // 当用户未登录的时候，跳转的登录页面地址是什么？ 默认 /login
    .loginProcessingUrl("/login") // 用户登录逻辑请求地址是什么。 默认是 /login
    .defaultSuccessUrl("/toMain",true); //用户登录成功后，响应重定向到的位置。GET请求。必须配置绝对地址。
    .failureUrl("/failure"); // 登录失败后，重定向的位置。

自定义登录处理器

AuthenticationSuccessHandler

用来处理认证成功的情况

@Slf4j
@Component
public class AuthenticationSuccessHandlerImpl implements AuthenticationSuccessHandler {

    @Autowired
    private ObjectMapper objectMapper;

    @Override
    public void onAuthenticationSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {
        log.info("登录成功");
        httpServletResponse.setContentType("application/json;charset=utf-8");
        httpServletResponse.getWriter().write(objectMapper.writeValueAsString(authentication));
    }
}

AuthenticationFailureHandler

用来处理认证失败的情况

@Slf4j
@Component
public class AuthenticationFailureHandlerImpl implements AuthenticationFailureHandler {

    @Autowired
    private ObjectMapper objectMapper;

    @Override
    public void onAuthenticationFailure(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {
        log.info("登录失败");
        httpServletResponse.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value());
        httpServletResponse.setContentType("application/json;charset=utf-8");
        httpServletResponse.getWriter().write(objectMapper.writeValueAsString(e));
    }
}

使用案例

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private AuthenticationSuccessHandlerImpl authenticationSuccessHandler;
    @Autowired
    private AuthenticationFailureHandlerImpl authenticationFailureHandler;
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        /**
         * fromLogin()：表单认证
         * httpBasic()：弹出框认证
         * authorizeRequests()：身份认证请求
         * anyRequest()：所有请求
         * authenticated()：身份认证
         * loginPage()：登录页面地址
         * loginProcessingUrl()：登录表单提交地址
         * csrf().disable()：关闭Spring Security的跨站请求伪造的功能
         */
        http.csrf().disable()
                .formLogin()
                .loginPage("/login")
                .loginProcessingUrl("/auth/login")
                .successHandler(authenticationSuccessHandler)
                .failureHandler(authenticationFailureHandler)
                .and()
                .authorizeRequests()
                .antMatchers("/login").permitAll()
                .anyRequest()
                .authenticated();
    }
}

自定义退出处理器

LogoutSuccessHandler

用来处理退出成功的情况

@Component
public class MyLogOutSuccessHandler implements LogoutSuccessHandler {

    @Override
    public void onLogoutSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {
        httpServletResponse.setStatus(HttpStatus.UNAUTHORIZED.value());
        httpServletResponse.setContentType("application/json;charset=utf-8");
        httpServletResponse.getWriter().write("退出成功，请重新登录");
    }
}

使用案例

@GetMapping("/signout/success")
public String signout() {
    return "退出成功，请重新登录";
}

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private AuthenticationSuccessHandlerImpl authenticationSuccessHandler;
    @Autowired
    private AuthenticationFailureHandlerImpl authenticationFailureHandler;
    @Resource
    private MyLogOutSuccessHandler logOutSuccessHandler;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin()
        .successHandler(authenticationSuccessHandler)
        .failureHandler(authenticationFailureHandler)
        .and()
        .logout()
        //.logoutUrl("/signout")
        .logoutSuccessUrl("/signout/success")
        .deleteCookies("JSESSIONID")
        .logoutSuccessHandler(logoutSuccessHandler)
        .and()
        .authorizeRequests()
        .anyRequest()
        .authenticated();
    }
}

Spring Security默认的退出登录URL为/logout，退出登录后，Spring Security会做如下处理：

  1. 使当前的Session失效
  2. 清除与当前用户关联的RememberMe记录
  3. 清空当前的SecurityContext
  4. 重定向到登录页

logoutHandler

http.and()
	.logout() //提供系统退出支持，使用 WebSecurityConfigurerAdapter 会自动被应用
	.logoutUrl("/logout") //默认退出地址
	.logoutSuccessUrl("/login‐view?logout") //退出后的跳转地址
    .addLogoutHandler(logoutHandler) //添加一个LogoutHandler，用于实现用户退出时的清理工作.默认 SecurityContextLogoutHandler 会被添加为最后一个 LogoutHandler 。
    .invalidateHttpSession(true);  //指定是否在退出时让HttpSession失效，默认是true

一般来说， LogoutHandler 的实现类被用来执行必要的清理，因而他们不应该抛出异常。

下面是Spring Security提供的一些实现：

  1. PersistentTokenBasedRememberMeServices：基于持久化token的RememberMe功能的相关清理
  2. TokenBasedRememberMeService：基于token的RememberMe功能的相关清理
  3. CookieClearingLogoutHandler：退出时Cookie的相关清理
  4. CsrfLogoutHandler：负责在退出时移除csrfToken
  5. SecurityContextLogoutHandler：退出时SecurityContext的相关清理
爱编程的小生
关注
专栏目录
Spring Security-实现自定义退出登录
西京刀客
02-27 201
一般登录后，服务端会给用户发一个凭证。常见有以下的两种： * 基于 Session 客户端会存 cookie 来保存一个 sessionId ，服务端存一个 Session * 基于 token 客户端存一个 token 串，服务端会在缓存中存一个用来校验此 token 的信息。
Spring Security 6.x 系列（12）—— Form表单认证登录注销自定义配置
gmHappy
12-23 5574
在本系列文章中介绍了 `Form` 表单认证和注销流程，对部分源码也进行详细分析。 本章主要学习 `Spring Security` 中表单认证登录注销的相关自定义配置。
6.SpringSecurity自定义用户登录页面
卷土的博客
05-06 796
上面的/user/login也可以换成/login，主要是以/login结尾。页面中的username,password不能修改，只能是固定值。
Spring Security-自定义登录页面和认证过程其他常用配置
m0_71777195的博客
07-31 1343
虽然Spring Security给我们提供了登录页面，但是对于实际项目中，大多喜欢使用自己的登录页面。所以Spring Security中不仅仅提供了登录页面，还支持用户自定义登录页面。实现过程也比较简单，只需要修改配置类即可。1.编写登录页面别写登录页面，登录页面中的action不编写对应控制器也可以。 2.修改配置类​ 修改配置类中主要是设置哪个页面是登录页面。配置类需要继承WebSecurityConfigurerAdapter,并重写configure方法。​ successForwardUr
Spring Security 自动登出机制详解
m0_62153576的博客
09-05 389
在现代Web应用中，安全性是一个不可忽视的重要方面。Spring Security作为Java平台的安全框架，提供了一套全面的安全服务，包括认证、授权、防止CSRF攻击等。本文将通过一个实例，详细讲解如何在Spring Security中实现自动登出功能。
Spring Security -- 自定义登录
smile_code_dog的博客
04-15 2598
Spring Security – 自定义登录 1 使用formLogin() http .formLogin() .loginPage("/myLogin") // 自定义登录页面 .loginProcessingUrl("/doLogin") // 自定义登录接口 .permitAll(); 2 自定义登录过滤器 SpringSecurity 默认使用的是 UsernamePasswordAuthenticationFilter 过滤器，我们可以实现 AbstractA
SpringSecurity - 自定义登录
qq_36782325的博客
04-18 493
基于若依框架进行开发，根据业务需求实现相应的登录功能。
Spring Security自定义登录
qq_44188658的博客
08-18 4628
一、最关键的一个配置类 自定义一个SecurityConfig类继承自WebSecurityConfigurerAdapter抽象类，实现三个主要的方法： /** * 1.身份认证接口 */ @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(userDetailsService).
SpringBoot开发——整合Spring Security
bjzhang75的博客
09-11 1024
SpringBoot整合Spring Security
SpringSecurity基础——快速入门
程序无言
09-26 964
一. 初始SpringSecurity 1. 简介 Spring Security是spring采用AOP思想，基于servlet过滤器实现的安全框架。它提供了完善的认证机制和方法级的授权功能。是一款非常优秀的权限管理框架。 2. 主要jar包 spring-security-core.jar: 核心包 spring-security-web.jar: web工程必备，包含过滤器 spring-security-config.jar: 用于解析xml配置文件 spring-security-tagli
SpringSecurity系列——访问权限判断（权限，角色，IP），权限不足（403）处理day6-1（源于官网5.7.2版本）
qq_51553982的博客
07-26 1090
为了你对本文的内容不产生疑惑请先看下方说明当我们无权限时，SpringSecurity会给我们返回403的空白页面，实际上对用户是不友好的，用户不关心处理结果，只关心自己能否访问，所以自定义权限不足的时候的处理显得十分重要，在前后端分离的今天，其实我们只需要返回给前端json数据即可data.put("msg","用户权限不足！");}}...
Java零基础——SpringSecurity篇
m0_47946173的博客
12-04 2114
Spring Security是一个能够为基于Spring的企业应用系统提供声明式（注解）的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。
SpringSecurity自定义登录
无人罪的博客
11-30 722
既然选择自定义登录，那么就要重新原本提供的默认登录接口(在使用jwt之前，无论是默认还是修改后的登录使用的都是cookie——session的方式)这里使用mybatis-plus查询数据，其他方式如jdbc，mybatis也都是可以的，顺便说一句plus真好用。
Spring Security自定义登录界面
Leon_Jinhai_Sun的博客
05-05 301
引入模板依赖 <!--thymeleaf--> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-thymeleaf</artifactId> </dependency> 定义登录页面 controller @Controller public class LoginControl
SpringSecurity自定义登录界面
weixin_43472934的博客
04-18 6803
为什么需要自定义登录界面？ 答：因为SpringBoot整合SpringSecurity时，只需要一个依赖，无需其他配置，就可以实现认证功能。但是它的认证登录界面是固定那样的，如下图所示，但是我们希望自己搞个好看的登录界面，所以需要自定义登录界面。 第一步：创建springboot项目 <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="ht
权限框架SpringSecurity（一）——自定义登录
scorpio的博客
05-12 9490
权限框架SpringSecurity（一）——自定义登录
SPRING实现登陆
Aran
06-12 1358
使用 用户名+密码 的方式来登录，用户名、密码存储在数据库，并且支持密码输入错误三次后开启验证码，通过这样一个过程来熟悉 spring security 的认证流程，掌握 spring security 的原理。 1、基础环境 ① 创建 sunny-cloud-security 模块，端口号设置为 8010，在sunny-cloud-security模块引入security支持以及sunny-st...
SpringSecurity实现自定义登录接口
最新发布
practice_warm的博客
10-05 719
【代码】SpringSecurity实现自定义登录接口。
SpringSecurity：登录
拒绝熬夜啊的博客
11-30 1907
文章目录SpringSecurity：登录一、登录处理器1.1 自定义AuthenticationSuccessHandler1.2 自定义AuthenticationFailureHandler1.3 DelegatingAuthenticationFailureHandler二、设置登录成功页和失败页2.1 默认情况下2.2 指定URL处理2.3 自定义认证成功、失败处理CustomAuthenticationSuccessHandler：CustomAuthenticationFailureHandl
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值