Spring Security源码（三）：HttpSecurity 详解

最新推荐文章于 2024-06-19 22:13:45 发布
最新推荐文章于 2024-06-19 22:13:45 发布
阅读量1.5k 收藏 12
点赞数 8
分类专栏： ★ Spring Security 文章标签： 源码 Spring Security HttpSecurity
huadong
本文链接：https://blog.csdn.net/qq_36221788/article/details/115497887
版权

文章目录

〇、上篇回顾

  • 上一章介绍了整个框架的建造者，其中 HttpSecurity 也是建造者之一，主要构建目标是 FilterChainProxy 对象中一组 SecurityFilterChain 的一个 。在实际项目中也是必须用到的类，且功能极多，所以单独拆分一章讲讲其内部各个方法的功能及用法。注：各方法功能说明及示例均来自HttpSecurity源码，如解释不清的时候请参考源码。

一、方法列表索引

formLogin()

  • 说明：指定支持 基于表单 的身份验证。如果没有指定{@link FormLoginConfigurer#loginPage()}，将生成一个默认的登录页面。
  • 示例1：最基本的配置是默认生成登录地址是 /login 的登录页，如果验证失败的话会重定向到 /login?error 页面。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and().formLogin();
    }
  • 示例2：下面这个例子可以配置一些默认值。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and().formLogin()
                .usernameParameter("username")
                .passwordParameter("password")
                .loginPage("/authentication/login")
                .failureUrl("/authentication/login?failed")
                .loginProcessingUrl("/authentication/login/process");
    }

openidLogin()

  • 说明：配置基于 OpenID 的认证
  • 示例：启用 OpenID 认证
@Configuration
@EnableWebSecurity
public class OpenIDLoginConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/**").hasRole("USER").and()
                .openidLogin()
                .permitAll();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                // 用户名必须与登录用户的OpenID匹配
                .withUser(
                        "https://www.google.com/accounts/o8/id?id=lmkCn9xzPdsxVwG7pjYMuDgNNdASFmobNkcRPaWU")
                .password("password").roles("USER");
    }
}

headers()

  • 说明：向响应添加 请求安全头 。当使用 {@link WebSecurityConfigurerAdapter} 的默认构造函数时，它会被默认激活。
  • 示例1：只调用 {@link HttpSecurity#headers()} ，其实相当于调用了以下的所有方法
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers()
                .contentTypeOptions()
                .and()
                .xssProtection()
                .and()
                .cacheControl()
                .and()
                .httpStrictTransportSecurity()
                .and()
                .frameOptions()
                .and()
        //      ...
        ;
    }
  • 示例2：当然你也可以禁用 headers()
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers()
                .disable()
        ;
    }
  • 示例3：你也可以使用部分请求头，前提你需要调用 {@link HeadersConfigurer#defaultsDisabled()} 先关闭所有，然后打开你想要的请求头
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers()
                .defaultsDisabled()
                .cacheControl()
                .and()
                .frameOptions()
                .and()
        //      ...
        ;
    }
  • 示例4：同样你可以选择默认值，而关闭某些特定的请求头
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.headers()
                .frameOptions()
                .disable()
                .and()
        //      ...
        ;
    }

cors()

  • 说明：添加要使用的 {@link CorsFilter} 。如果提供了一个名为 corsFilter 的bean，则使用 {@link corsFilter} 添加该Filter。

sessionManagement()

  • 说明：允许配置 Session 会话管理
  • 示例：
    • 下面的配置演示如何强制一次只对用户的单个实例进行身份验证。如果用户使用用户名 user 进行身份验证而没有注销，并且尝试再次使用 user 进行身份验证，第一个会话将被强制终止并发送到 /login?expired URL。
    • 当使用 {@link SessionManagementConfigurer#maximumSessions()} 时，不要忘记为应用程序配置 {@link HttpSessionEventPublisher} ，以确保过期的会话被清除。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest().hasRole("USER")
                .and()
                .formLogin().permitAll()
                .and()
                .sessionManagement().maximumSessions(1)
                .expiredUrl("/login?expired");
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("user").password("password")
                .roles("USER");
    }

portMapper()

  • 说明：允许配置 {@link HttpSecurity#getSharedObject()} 中可用的 {@link PortMapper} 端口映射。
  • 示例：提供的 {@link SecurityConfigurer} 对象在从HTTP重定向到HTTPS，或从HTTPS重定向到HTTP时，使用这个配置作为默认的 {@link PortMapper}。默认情况下，Spring Security使用 {@link PortMapperImpl} 将HTTP端口8080映射到HTTPS端口8443，将HTTP端口80映射到HTTPS端口443。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and()
                .formLogin().permitAll()
                .and()
                .portMapper().http(9090).mapsTo(9443).http(80).mapsTo(443);
    }

jee()

  • 说明：配置 基于容器 的预认证。在本例中，身份验证由Servlet容器管理。
  • 示例：这个示例将使用 {@link HttpServletRequest} 上找到的用户，如果用户是角色 ROLE_USER 或 ROLE_ADMIN ，则将其添加到生成的 {@link Authentication} 中。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and()
                .jee().mappableRoles("ROLE_USER", "ROLE_ADMIN");
    }

x509()

  • 说明：配置基于 X509 的预认证。
  • 示例：这个示例将尝试从 X509 证书中提取用户名。请记住，需要配置Servlet容器来请求客户端证书，这样才能工作。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and()
                .x509();
    }

rememberMe()

  • 说明：配置 Remember Me 认证。
  • 示例：下面的配置演示了如何允许基于令牌的 remember me 身份验证。在进行身份验证时，如果名为 remember-me 的HTTP参数存在，那么即使在他们的 {@link javax.servlet.http.HttpSession} 过期失效之后，用户也会被记住。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and().formLogin()
                .permitAll().and()
                .rememberMe();
    }

authorizeRequests()

  • 说明：配置基于 {@link HttpServletRequest} 使用限制访问
  • 示例1：最基本的例子是配置所有 url 都需要有 ROLE_USER 角色。下面这个配置示例要求对每个URL进行身份验证，并将授予用户 admin 和 user 不同的访问权限。
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.authorizeRequests()
                    .antMatchers("/**").hasRole("USER")
                    .and()
                    .formLogin();
        }

        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.inMemoryAuthentication()
                    .withUser("user").password("password").roles("USER")
                    .and()
                    .withUser("admin").password("password").roles("ADMIN", "USER");
        }
  • 示例2：也可以配置多个url。下面的配置要求对每个URL进行身份验证，并且只允许 admin 用户访问以 /admin/ 开头的URL。任何一个用户都可以访问所有其他url。
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.authorizeRequests()
                    .antMatchers("/admin/**").hasRole("ADMIN")
                    .antMatchers("/**").hasRole("USER")
                    .and()
                    .formLogin();
        }

        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.inMemoryAuthentication()
                    .withUser("user").password("password").roles("USER")
                    .and()
                    .withUser("admin").password("password").roles("ADMIN", "USER");
        }
  • 示例3：注意匹配器是按顺序匹配的。因此以下是无效的，因为第一个匹配器匹配每个请求，并且永远不会到达第二个匹配器。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .antMatchers("/admin/**").hasRole("ADMIN")
                .and()
                .formLogin();
    }

requestCache()

  • 说明：允许配置 请求缓存 。例如，一个受保护的页面 /protected 可能会在身份验证之前被请求。应用程序将用户重定向到登录页面，身份验证之后，Spring Security将用户重定向到最初请求的受保护页面 /protected 。当使用 {@link WebSecurityConfigurerAdapter} 时，会被默认激活。

exceptionHandling()

  • 说明：允许配置 异常处理 。当使用 {@link WebSecurityConfigurerAdapter} 时，会被默认激活。

securityContext()

  • 说明：在 {@link HttpServletRequest} 之间的 {@link SecurityContext} 上建立 {@link SecurityContextHolder} 的管理。当使用 {@link WebSecurityConfigurerAdapter} 时，会被默认激活。

servletApi()

  • 说明：将 {@link HttpServletRequest} 方法与 {@link SecurityContext} 上的值集成起来。当使用 {@link WebSecurityConfigurerAdapter} 时，会被默认激活。

csrf()

  • 说明：添加 CSRF 支持
  • 示例：当使用 {@link WebSecurityConfigurerAdapter} 时，会被默认激活。你可以禁用它
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf().disable();
    }

logout()

  • 说明：提供 注销 的支持。当使用 {@link WebSecurityConfigurerAdapter} 时，会被默认激活。默认情况下，访问URL /logout 将使HTTP会话失效，清除配置的所有 {@link HttpSecurity#rememberMe()} 身份验证，清除 {@link SecurityContextHolder} ，然后重定向到 /login?success，从而使用户退出。
  • 示例：下面的配置，当 /custom-logout 接口被调用时，会走注销流程。注销将删除名为 remove 的cookie，清除 SecurityContexHolder，但是不会使 HttpSession 失效，在完成上面动作之后重定向到 /logout-success。
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/**").hasRole("USER")
                .and().formLogin()
                .and()
                .logout().deleteCookies("remove").invalidateHttpSession(false)
                .logoutUrl("/custom-logout")
                .logoutSuccessUrl("/logout-success");
    }

anonymous()

  • 说明：允许配置 匿名用户 的表示方式。当使用 {@link WebSecurityConfigurerAdapter} 时，会被默认激活。默认情况下，匿名用户将用 {@link org.springframework.security.authentication.AnonymousAuthenticationToken} ，包含角色 ROLE_ANONYMOUS。
  • 示例1：下面的配置演示了如何指定匿名用户应该包含角色 ROLE_ANON。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and().formLogin()
                .and()
                .anonymous().authorities("ROLE_ANON");
    }
  • 示例2：下面演示了如何将匿名用户表示为空。注意，假设启用了匿名身份验证可能会导致代码中出现空指针异常。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and().formLogin()
                .and()
                .anonymous().disable();
    }

requiresChannel()

  • 说明：配置 通道安全（HTTPS访问）。为了使该配置有用，至少必须提供一个到所需通道的映射。
  • 示例：下面的例子演示了如何为每个请求要求HTTPS。不建议只支持某些请求需要HTTPS，因为允许HTTP的应用程序会引入许多安全漏洞。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and().formLogin()
                .and().requiresChannel().anyRequest().requiresSecure();
    }

httpBasic()

  • 说明：配置 HTTP基本认证 。
  • 示例：下面的示例演示如何为应用程序配置HTTP基本身份验证。默认的领域是 Spring Security Application ，但是可以使用 {@link HttpBasicConfigurer#realmName()} 自定义。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and()
                .httpBasic();
    }

requestMatchers()

  • 说明：
    • // TODO … 。如果只需要一个 {@link RequestMatcher}，可以考虑使用 {@link #mvcMatcher()} 、{@link #antMatcher()}、 {@link #regexMatcher()}、或{@link #requestMatcher()}。
    • 调用 {@link #requestMatchers()} 不会覆盖之前对 {@link #mvcMatcher()}、{@link #requestMatchers()}、{@link #antMatcher()}、{@link #regexMatcher()} 和 {@link #requestMatcher()} 的调用。
  • 示例1：下面配置了以 /api/ 和 /oauth/ 开头的URL，无需认证。
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .requestMatchers()
                .antMatchers("/api/**", "/oauth/**")
                .and()
                .authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and()
                .httpBasic();
    }
  • 示例2：下面的配置与前面的配置相同
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .requestMatchers()
                .antMatchers("/api/**")
                .antMatchers("/oauth/**")
                .and()
                .authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and()
                .httpBasic();
    }
  • 示例3：下面的配置也与上面的配置相同
@Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .requestMatchers()
                .antMatchers("/api/**")
                .and()
                .requestMatchers()
                .antMatchers("/oauth/**")
                .and()
                .authorizeRequests()
                .antMatchers("/**").hasRole("USER")
                .and()
                .httpBasic();
    }

addFilterAt()

  • 说明：在指定的过滤器位置添加过滤器。

requestMatcher()

  • 说明：允许将 {@link HttpSecurity} 配置为只在匹配所提供的 {@link RequestMatcher} 时被调用。如果需要更高级的配置，可以考虑使用{@link #requestMatchers()}。

antMatcher()

  • 说明：允许将 {@link HttpSecurity} 配置为只在匹配所提供的 ant 模式时被调用。如果需要更高级的配置，可以考虑使用 {@link #requestMatchers()} 或 {@link #requestMatcher()}。

mvcMatcher()

  • 说明：允许将 {@link HttpSecurity} 配置为只在匹配所提供的 Spring MVC 模式时被调用。如果需要更高级的配置，可以考虑使用 {@link #requestMatchers()} 或 {@link #requestMatcher(requestMatcher)} 。

regexMatcher()

  • 说明：允许将 {@link HttpSecurity} 配置为只在匹配所提供的 正则表达式 模式时被调用。如果需要更高级的配置，可以考虑使用 {@link #requestMatchers()} 或 {@link #requestMatcher()}。

getOrApply()

  • 说明：如果 {@link SecurityConfigurer} 已经被指定获取原始的，否则应用新的 {@link SecurityConfigurerAdapter} 配置。

performBuild()

  • 说明：实现的父类 AbstractConfiguredSecurityBuilder 的抽象接口，目的是创建SecurityFilterChain实例

二、系列文章

Spring Security 系列

Spring Security OAuth 系列

发飙的蜗牛咻咻咻~
关注
  • 8
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
【第四篇】SpringSecurity的HttpSecurity详解
筱白爱学习！的博客
06-12 1349
HttpSecurity配置以及结构详解
话说Spring Security权限管理（源码详解）
08-31
Spring Security 是一个强大的安全框架，用于管理Web应用和企业级应用的安全性。权限管理是Spring Security的核心功能之一，它确保只有具有相应权限的用户才能访问特定的资源或执行特定的操作。在Spring Security中...
Spring Security 详解
热门推荐
qq_22075913的博客
06-06 11万+
​ Spring Security 是 Spring家族中的一个安全管理框架。相比与另外一个安全框架Shiro，它提供了更丰富的功能，社区资源也比Shiro丰富。一般来说中大型的项目都是使用SpringSecurity来做安全框架。小项目有Shiro的比较多，因为相比与SpringSecurity，Shiro的上手更加的简单。​ 一般Web应用的需要进行认证和授权。​ 而认证和授权也是SpringSecurity作为安全框架的核心功能。视频地址：​ 我们先要搭建一个简单的SpringBoot工程① 设置父工
详解HttpSecurity是如何组装过滤器链的
最新发布
Oona_01的博客
06-19 23
前面我们提到，HttpSecurity 本质上也是一个 SecurityBuilder，我们平时在 HttpSecurity 配置的各种东西，本质上其实就是一个 xxxConfigure，这些 xxxConfigure 被 HttpSecurity 收集起来，最后会遍历收集起来的 xxxConfigure，调用其 configure 方法，最终获取过滤器，并将获取到的过滤器存入到 filters 集合中。另外很重要的一点，HttpSecurity 也是一个 SecurityBuilder。
Spring Security 源码分析：Spring Security 授权过程
LoveSummer
11-10 795
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。 1. 前言 本文是接上一章Spring Security源码分析一.
Spring Security源码（四）：配置器详解
技术分享，读书笔记，面试宝典，算法积累，应有尽有～
04-18 1011
其实整个配置器最重要的两个方法就是 init() 和 configure() ，目的是配置 WebSecurity、HttpSecurity 和 AuthenticationManagerBuilder 三个建造者，所有都配置好后就可以创建核心过滤器了
Spring Security源码（八）：登录认证源码流程
技术分享，读书笔记，面试宝典，算法积累，应有尽有～
05-05 2515
前两篇提到如何使用Spring Security去实现登录授权和接口认证，但是程序是怎么做到这些类之间的流程控制的呢，一起来了解下吧
Spring Security源码（二）：建造者详解
技术分享，读书笔记，面试宝典，算法积累，应有尽有～
04-07 1139
WebSecurity 的构建目标是 FilterChainProxy 对象，即核心过滤器 springSecurityFilterChain，HttpSecurity 的构建目标只是 FilterChainProxy 对象中一组 SecurityFilterChain 的一个
【Spring Security】的RememberMe功能流程与源码详解
阿Q的小窝
06-09 3856
如果用户勾选了 “记住我” 选项，Spring Security 将在用户登录时创建一个持久的安全令牌，并将令牌存储在 cookie 中或者数据库中。当用户关闭浏览器并再次打开时，Spring Security 可以根据该令牌自动验证用户身份。
Spring Security 源码详解
王林的博客
09-20 677
这里主要介绍 SpringSecurity 的整体流程，方便以后查阅！！！
SpringSecurity之二：web自定义用户登录
铃萌的博客
05-01 2578
官方文档：Hello Spring Security :: Spring Security 一、认证流程 先了解下SpringSecurity认证的流程，如下图（图片来自官网）： step1：用户提交请求，AbstractAuthenticationProcessingFilter会从请求信息中生成Authentication对象，Authentication对象根据AbstractAuthenticationProcessingFilter子类决定； step2：通过Authentication.
SpringBoot2+MybatisPlus+SpringSecurity+jwt+redis+Vue人事管理系统源码
08-12
《SpringBoot2+MybatisPlus+SpringSecurity+jwt+redis+Vue人事管理系统详解》 在当前的互联网开发环境中，高效、稳定且易于维护的系统架构是至关重要的。本篇文章将详细解析一个基于SpringBoot2、MybatisPlus、...
Spring Security 3多用户登录实现一
04-13
**Spring Security 3 多用户登录实现详解** Spring Security 是一个强大的、高度可定制的身份验证和访问控制框架，广泛应用于Java EE平台上的安全解决方案。在本文中，我们将深入探讨如何在Spring Security 3中实现...
Spring Security集成CAS客户端实例
03-02
**Spring Security集成CAS客户端实例详解** 在Web应用中，安全是至关重要的，Spring Security和CAS（Central Authentication Service）是两种广泛使用的安全框架。本实例旨在展示如何将Spring Security与CAS结合，...
SPRING SECURITY配置
07-30
**Spring Security配置详解** Spring Security是一款强大的安全框架，它为Java应用提供了全面的安全服务，包括认证、授权和访问控制。本文将深入探讨Spring Security的核心概念、配置方式以及常见应用场景。 ### 1...
Spring Security OAuth：客户端模式超简单实现
技术分享，读书笔记，面试宝典，算法积累，应有尽有～
08-16 4609
OAuth 是一个开放标准，Spring Security OAuth 给我们提供了一个 OAuth 的实现，本篇演示了如何使用 Spring Security OAuth 做客户端模式的授权和认证，代码非常简单！
手把手教你如何使用Spring Security（上）：登录授权
技术分享，读书笔记，面试宝典，算法积累，应有尽有～
04-26 4471
Spring Security，目前最流行的安全框架之一，新手看完很容易上手操作，Demo项目中各个类的描述非常清晰，值得参考和收藏，也欢迎大家一起探讨~
手把手教你如何使用Spring Security（中）：接口认证
技术分享，读书笔记，面试宝典，算法积累，应有尽有～
04-28 2639
在上篇文章我们配置了如何登录，以及登录后获取JWT令牌，但是对于普通的请求依然无法访问，原因是我们并没有去校验令牌认证请求的合法性，这一篇就来说说请求的认证。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

发飙的蜗牛咻咻咻~

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值