Spring Security学习——入门例子

                Spring Security学习——入门例子

      Spring Security的maven依赖如下

 

 
    <!-- Spring dependencies -->
		<dependency>
			<groupId>org.springframework</groupId>
			<artifactId>spring-core</artifactId>
			<version>${spring.version}</version>
		</dependency>

		<dependency>
			<groupId>org.springframework</groupId>
			<artifactId>spring-web</artifactId>
			<version>${spring.version}</version>
		</dependency>

		<dependency>
			<groupId>org.springframework</groupId>
			<artifactId>spring-webmvc</artifactId>
			<version>${spring.version}</version>
		</dependency>

		<!-- Spring Security -->
		<dependency>
			<groupId>org.springframework.security</groupId>
			<artifactId>spring-security-web</artifactId>
			<version>${spring.security.version}</version>
		</dependency>

		<dependency>
			<groupId>org.springframework.security</groupId>
			<artifactId>spring-security-config</artifactId>
			<version>${spring.security.version}</version>
		</dependency>

		<!-- jstl for jsp page -->
		<dependency>
			<groupId>jstl</groupId>
			<artifactId>jstl</artifactId>
			<version>${jstl.version}</version>
		</dependency>
  </dependencies>

      Spring Security由于是基于J2EE过滤器，因此需要在web.xml中进行相应的配置

<web-app id="WebApp_ID" version="2.4"
	xmlns="http://java.sun.com/xml/ns/j2ee" 
	xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee 
	http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd">
	
  <display-name>Archetype Created Web Application</display-name>
  <!-- Spring MVC -->
	<servlet>
		<servlet-name>mvc-dispatcher</servlet-name>
		<servlet-class>org.springframework.web.servlet.DispatcherServlet
		</servlet-class>
		<load-on-startup>1</load-on-startup>
	</servlet>
	<servlet-mapping>
		<servlet-name>mvc-dispatcher</servlet-name>
		<url-pattern>/</url-pattern>
	</servlet-mapping>

	<listener>
		<listener-class>org.springframework.web.context.ContextLoaderListener
		</listener-class>
	</listener>

        <!-- Loads Spring Security config file -->
	<context-param>
		<param-name>contextConfigLocation</param-name>
		<param-value>
			/WEB-INF/spring-security.xml
		</param-value>
	</context-param>

	<!-- Spring Security -->
	<filter>
		<filter-name>springSecurityFilterChain</filter-name>
		<filter-class>org.springframework.web.filter.DelegatingFilterProxy
		</filter-class>
	</filter>

	<filter-mapping>
		<filter-name>springSecurityFilterChain</filter-name>
		<url-pattern>/*</url-pattern>
	</filter-mapping>
</web-app>

         要想Spring Security整合入项目，在web.xml中配置一个filter,和配置的filter配置没有什么不同，filter的类使用的是Spring Security框架实现的org.springframework.web.filter.DelegaingFilterProxy，拦截请求的正则表达式是/*，表示可以拦截所有的请求，能对所有的请求路径进行权限判断。并且还在context-param中配置了Spring Security的配置文件的路径，这样配置可以在Sprihng Security实现的Filter中通过这个路径找到Sprng Security的配置并读取之，然后初始化Spring Security框架所需的所有对象的相关数据。上面还配置了Spring MVC框架，这和其他的Spring MVC项目没什么区别，都是通过一个Servlet来实现，对Servlet的请求会根据Spring MVC的相关mapper映射转发到相应的Controller。Spring Security的配置文件如下 

<beans:beans xmlns="http://www.springframework.org/schema/security"
	xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://www.springframework.org/schema/beans
	http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
	http://www.springframework.org/schema/security
	http://www.springframework.org/schema/security/spring-security-3.2.xsd">

	<http auto-config="true">
		<intercept-url pattern="/admin**" access="ROLE_USER" />
		<form-login login-page="/login" default-target-url="/index"
			authentication-failure-url="/login?error" username-parameter="username"
			password-parameter="password" />
		<logout logout-success-url="/login?logout" />
		<csrf />
	</http>

	<authentication-manager>
		<authentication-provider>
			<user-service>
				<user name="xiaobing" password="123456" authorities="ROLE_USER" />
			</user-service>
		</authentication-provider>
	</authentication-manager>

</beans:beans>

       上面的配置表示Spring Security会拦截所有以admin开头的url请求，并作为USER角色，验证权限的输入信息在login.jsp页面，也验就是说如果还没有验证过，访问被拦截时会请求转发到login.jsp进行信息的输入。验证失败会转发至login?error请求，权限验证时的用户名字段的字段名是username，密码字段的字段名是password，也就是前面所说的login.jsp页面中的用户名输入框的name为username，而密码输入框的name为password。这样在输入提交后，角色的登录信息就可以传入后台，Spring Security框架内部会用一个处理器来处理，并且会对信息正误进行判定。如果验证正确了就会对相应权限进行判定。

logout标签中的配置表示登出成功后请求转发给哪个请求。在后面的Spring MVC控制器中将会配置这些请求并做相应的处理。
      下面的authentication-manager里配置的是角色信息，这里是采用xml配置的，也就是Spring Security的用户只有一个，用户名为xiaobing,密码为123456,用户角色是USER，只有当在页面中输入这个用户名和密码时才能验证成功。

 然后是Spring MVC的控制器

 

package security.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestMethod;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.servlet.ModelAndView;

@Controller
public class HelloController {

	@RequestMapping(value = "", method = { RequestMethod.GET })

	public ModelAndView welcomePage() {
		ModelAndView model = new ModelAndView();
		model.addObject("title", "Spring Security Study");
		model.addObject("message", "welcome!!");
		model.setViewName("hello");
		return model;
	}

	@RequestMapping(value = "/admin**", method = RequestMethod.GET)
	public ModelAndView adminPage() {

		ModelAndView model = new ModelAndView();
		model.addObject("title", "Spring Security Hello World");
		model.addObject("message", "This is protected page!");
		model.setViewName("admin");

		return model;

	}

	@RequestMapping(value = "/login", method = RequestMethod.GET)
	public ModelAndView login(@RequestParam(value = "error", required = false) String error,
			@RequestParam(value = "logout", required = false) String logout) {

		ModelAndView model = new ModelAndView();
		if (error != null) {
			model.addObject("error", "Invalid username and password!");
		}

		if (logout != null) {
			model.addObject("msg", "You've been logged out successfully.");
		}
		model.setViewName("login");

		return model;

	}
}

         在这个控制器中主要看adminPage和login两个方法，在adminPage方法中，配置了RequestMapper的映射路径是/admin**，当访问admin**路径时，本应该会由adminPage方法来处理请求，但由于Spring Security会拦截admin**为开头的所有请求，所以会进行相应的权限验证。

       然后是login这个方法，映射的路径是login，也就是在Spring Security的配置文件中配置的，根据login方法中的逻辑，如果error参数不为空的话就表示验证失败了，就把error信息添加到视图模型对象中，如果是logout不能空的话，就表示退出登录成功，就将登出成功的信息添加到视图模型对象中。最后是请求转向login.jsp页面。在login.jsp页面中就会将相应的信息展示出来。

<%@ page language="java" contentType="text/html; charset=ISO-8859-1"
	pageEncoding="ISO-8859-1"%>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1">
<title>Insert title here</title>
<style>
.error {
	padding: 15px;
	margin-bottom: 20px;
	border: 1px solid transparent;
	border-radius: 4px;
	color: #a94442;
	background-color: #f2dede;
	border-color: #ebccd1;
}

.msg {
	padding: 15px;
	margin-bottom: 20px;
	border: 1px solid transparent;
	border-radius: 4px;
	color: #31708f;
	background-color: #d9edf7;
	border-color: #bce8f1;
}

#login-box {
	width: 300px;
	padding: 20px;
	margin: 100px auto;
	background: #fff;
	-webkit-border-radius: 2px;
	-moz-border-radius: 2px;
	border: 1px solid #000;
}
</style>
</head>
<body οnlοad='document.loginForm.username.focus();'>

	<h1>Spring Security Custom Login Form (XML)</h1>

	<div id="login-box">

		<h2>Login with Username and Password</h2>

		<c:if test="${not empty error}">
			<div class="error">${error}</div>
		</c:if>
		<c:if test="${not empty msg}">
			<div class="msg">${msg}</div>
		</c:if>

		<form name='loginForm'
			action="<c:url value='j_spring_security_check' />" method='POST'>

			<table>
				<tr>
					<td>User:</td>
					<td><input type='text' name='username' value=''></td>
				</tr>
				<tr>
					<td>Password:</td>
					<td><input type='password' name='password' /></td>
				</tr>
				<tr>
					<td colspan='2'><input name="submit" type="submit"
						value="submit" /></td>
				</tr>
			</table>

			<input type="hidden" name="${_csrf.parameterName}"
				value="${_csrf.token}" />

		</form>
	</div>

</body>
</html>

     在adminPage的控制器方法中，如果验证成功后，会真正访问到这个方法，执行其中的代码，adminPage中的逻辑是将title和message字段添加到视图模型中，返回请求转向admin.jsp页面，admin.jsp页面如下

<%@ page language="java" contentType="text/html; charset=ISO-8859-1"%>
<%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core"%>
<%@page session="true"%>
<html>
<body>
	<h1>Title : ${title}</h1>
	<h1>Message : ${message}</h1>

	<c:url value="/j_spring_security_logout" var="logoutUrl" />

	<!-- csrt for log out-->
	<form action="${logoutUrl}" method="post" id="logoutForm">
		<input type="" name="${_csrf.parameterName}"
			value="${_csrf.token}" />
	</form>

	<script>
		function formSubmit() {
			document.getElementById("logoutForm").submit();
		}
	</script>

	<c:if test="${pageContext.request.userPrincipal.name != null}">
		<h2>
			Welcome : ${pageContext.request.userPrincipal.name} | <a
				href="javascript:formSubmit()"> Logout</a>
		</h2>
	</c:if>

</body>
</html>

在这个页面中，输入了前面的title和message字段的值，并且还能拿到Spring Security验证是输入的用户名。下面通过一个form提交登出请求，登出时，Spring Security框架会将此token的用户的信息从Spring Security的上下文缓存中清除，这样就实现了权限的验证以为权限验证的退出。退出成功后再次请求时又会被拦截并验证。

当请求admin的时候就会自动跳转到http://localhost:8080/spring/login页面

当输错误时会提示

验证成功后就把请求传递到adminPage方法中进行处理，请求转发到admin.jsp页面

当点击Logout链接后，登出请求就经过Sprng Security框架处理后，再经由login方法中处理，转到login.jsp页面，并提示登出成功的信息