前言
Spring Security主要解决了认证和授权相关的问题 。
认证:验证用户提交的登录信息,判断是否可以通过。
授权:当认证通过后,给予通过认证的用户一些信息,后续,将根据这些信息来判断此用户是否允许执行某些访问。
正文
一、添加依赖
在Spring Boot项目,当需要使用Spring Security时,需要添加spring-boot-starter-security依赖:
<!-- Spring Boot Security,用于处理认证与授权 -->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
二、Spring Security的基本特点
当添加以上依赖后,再次启动项目,Spring Security会执行自动配置,使得:
-
此主机上所以的请求都必须先登录才可以访问,并提供了登录页面,包括根本不存在的URL
- 此特点是由WebSecurityConfigurerAdaper类中的protected void configure(HttpSecurity http)方法决定的
- 此配置方法中的http.formLogin()将决定是否开启登录表单
- 此特点是由WebSecurityConfigurerAdaper类中的protected void configure(HttpSecurity http)方法决定的
-
默认的用户名是user,默认的密码在启动日志中,每次启动都会变化
-
Using generated security password: 92062850-fb3d-4b86-be10-209ac26c143e
-
-
当登录成功后,会自动跳转到此前尝试访问的URL
- 例如,当尝试访问 http://localhost:9081/ 时,由于没有登录,会自动重定向到 http://localhost:9081/login 显示了登录页面,当登录成功后,会自动重定向到此前尝试访问的 http://localhost:9081/
-
Spring Security默认使用Session保存用户的登录信息
- 例如,当关闭浏览器后,再次访问,需要重新登录
-
通过 http://localhost:9081/logout 退出登录
三、BCrypt算法
Spring Security自带BCryptPasswordEncoder,可以用于使用BCrypt算法对密码进行加密处理
BCrypt算法是一种基于哈希算法的算法,所以,这种算法也是不可逆的!
通过BCrypt算法进行编码后的结果,长度固定为60字符。
使用同一个原文进行反复编码,每次得到的结果都是不同的,因为在编码过程中,BCrypt使用了随机的盐,并且,使用的盐也作为编码结果的一部分保存了下来,
在开发实现中,通常,可以使用配置类中的@Bean方法来创建BCryptPasswordEncoder对象,此对象将是由Spring进行管理的,当需要使用时,自动装配即可,例如:
@Slf4j
@Configuration
public class SecurityConfiguration {
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
}
@Slf4j
@Service
public class AdminServiceImpl implements IAdminService {
@Autowired
private PasswordEncoder passwordEncoder;
}
提示:如果项目运行时Spring容器中有密码编码器(PasswordEncoder),Spring Security框架会自动使用它
四、关于401和403这两个HTTP响应码
在HTTP协议中,401表示未认证的,通常是没有成功登录的,403表示未授权的,通常是已经登录,但是不具备相关的操作权限。
在Spring Security中,在许多“禁止”的场景中都会使用403,并不完全符合HTTP协议的规范。
五、关于伪造跨域攻击
在多选项卡的浏览器中,如果在第1个选项卡中登录了某个平台,在同一个窗口中打开其他选项卡,访问同一个平台,都会被平台识别,视为“已通过认证”。
所谓的伪造跨域攻击,就是利用以上特性,在网页源代码中隐藏一些恶意访问的、会自动提交的请求URL(例如使用隐藏的标签的src属性),例如,当用户在第1个选项卡登录了某银行系统,打开的第2个选项卡是有恶意代码的平台,第2个选项卡的网页发出“转账”的请求,会被银行系统视为“已通过认证的”。
- 提示:以上只是举例,事实上,现在防止这种做法的技术已经非常成熟,不会出现此问题,并且,银行转账通常都需要再次输入密码,而不会收到请求就直接转账
在使用Spring Security时,应该自定义配置类,继承自WebSecurityConfigurerAdpater,并重写void configure(HttpSecurity http)方法,在其中调用http.csrf()方法。
Spring Security在防止伪造跨域攻击时,会自动生成值为UUID的Token(票据 / 令牌),并且,将此值响应给客户端,针对客户端后续提交的 POST
/ DELETE
/ PUT
/ PATCH
类型的请求,都要求携带名为 _csrf
的参数,且值就是此UUID,如果客户端提交请求时没有携带此值,则视为“伪造的跨域攻击”,将响应 403
错误。
在继承了WebSecurityConfigurerAdapter
的配置类中,重写configurer(HttpSecurity http)
方法,调用http.csrf().disable()
即可禁用它,即不再检查各请求是否为“伪造跨域”的访问。
Spring Security默认开启了“禁止跨域的异步提交”,避免“伪造的跨域攻击”
六、使用数据库中的账号实现登录认证
要能够使用数据库中的账号实现登录认证,必须至少实现”根据用户名查询用户登录信息“的查询功能!
则在Mapper层,需要:
-
在项目的根包下创建
pojo.vo.AdminLoginInfoVO.java
类,在此类中添加登录时所需的数据属性:-
@Data public class AdminLoginInfoVO implements Serializable { // 必须包括:id, username, password, enable }
-
-
在
AdminMapper.java
接口中添加查询方法:-
AdminLoginInfoVO getLoginInfoByUsername(String usernanme);
-
-
在
AdminMapper.xml
中配置以上抽象方法映射的SQL语句:-
<!-- AdminLoginInfoVO getLoginInfoByUsername(String usernanme); --> <select id="getLoginInfoByUsername" resultMap="LoginResultMap"> SELECT <include refid="LoginQueryFields"/> FROM ams_admin WHERE username=#{username} </select> <sql id="LoginQueryFields"> <if test="true"> id, username, password, enable </if> </sql> <resultMap id="LoginResultMap" type="cn.tedu.csmall.passport.pojo.vo.AdminLoginInfoVO"> <id column="id" property="id"/> <result column="username" property="username"/> <result column="password" property="password"/> <result column="enable" property="enable"/> </resultMap>
-
-
在
AdminMapperTests.java
中编写并执行测试:-
@Test void testGetLoginInfoByUsername() { String username = "root"; AdminLoginInfoVO loginInfoByUsername = mapper.getLoginInfoByUsername(username); log.debug("根据用户名【{}】查询登录信息:{}", username, loginInfoByUsername); }
-
Spring Security在执行认证时,会根据用户提交的用户名,自动调用UserDetailsService
接口类型的对象中的UserDetails loadUserByUsername(String username);
方法,当得到返回的UserDetails
后,会自动处理后续的细节,例如验证密码是否正确、将认证信息(登录成功后的用户信息)保存下来,便于后续识别用户身份等。
所以,在根包下创建security.UserDetailsServiceImpl
类,实现UserDetailsService
接口,并且,在类上添加@Service
注解,并实现接口中声明的抽象方法:
package cn.tedu.csmall.passport.security;
import cn.tedu.csmall.passport.mapper.AdminMapper;
import cn.tedu.csmall.passport.pojo.vo.AdminLoginInfoVO;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.BadCredentialsException;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;
@Slf4j
@Service
public class UserDetailsServiceImpl implements UserDetailsService {
@Autowired
private AdminMapper adminMapper;
@Override
public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
log.debug("Spring Security自动调用loadUserByUsername()方法获取用户名为【{}】的用户详情……", s);
AdminLoginInfoVO loginInfoByUsername = adminMapper.getLoginInfoByUsername(s);
log.debug("从数据库中查询到的用户信息:{}", loginInfoByUsername);
if (loginInfoByUsername == null) {
String message = "登录失败,用户名不存在!";
log.warn(message);
throw new BadCredentialsException(message);
}
UserDetails userDetails = User.builder()
.username(loginInfoByUsername.getUsername())
.password(loginInfoByUsername.getPassword())
.accountExpired(false) // 账号是否已过期
.accountLocked(false) // 账号是否已锁定
.credentialsExpired(false) // 凭证是否已过期
.disabled(loginInfoByUsername.getEnable() == 0) // 账号是否已禁用
.authorities("临时设置的权限,避免报错,暂无意义") // 权限,【注意】必须调用此方法表示此用户具有哪些权限
.build();
log.debug("即将向Spring Security框架返回UserDetails对象:{}", userDetails);
return userDetails;
}
}
提示:一旦Spring窗口存在
UserDetailsService
接口类型的对象,在启动项目时(包括执行测试时),将不再生成随机的临时密码,此前使用的user
账号也将不再允许使用!
完成以上代码后,可以在Security的配置类中,通过http.formLogin();
方法启用登录页面,并启动项目,通过 http://localhost:9081/login 打开登录页面,此时,可以使用数据库的账号尝试登录。
注意:此前完成的查询功能中,必须查询password
和enable
这2个字段的值!
注意:因为Spring Security会自动应用密码编码器(在Security配置类中使用@Bean
方法配置的PasswordEncoder
),数据库中的密码值必须是BCrypt编码结果!
注意:必须确保尝试登录的账号的enable
值是有效的,如果为null
,则会导致NPE!