SpringSecurity升级篇

已于 2024-03-07 22:02:39 修改
阅读量1.5k 收藏 20
点赞数 23
文章标签： java 开发语言
于 2024-01-08 10:07:13 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36858491/article/details/135198427
版权

目录

传送门

SpringMVC的源码解析（精品）
Spring6的源码解析（精品）
SpringBoot3框架（精品）
MyBatis框架（精品）
MyBatis-Plus
SpringDataJPA
SpringCloudNetflix
SpringCloudAlibaba（精品）
Shiro
SpringSecurity
java的LOG日志框架
Activiti（敬请期待）
JDK8新特性
JDK9新特性
JDK10新特性
JDK11新特性
JDK12新特性
JDK13新特性
JDK14新特性
JDK15新特性
JDK16新特性
JDK17新特性
JDK18新特性
JDK19新特性
JDK20新特性
JDK21新特性
其他技术文章传送门入口

前言

本质就是一串过滤器配合实现的认证与授权功能，对，你没看错，全都是过滤器。
然后还有一个规约，OAuth2.0规约，腾讯QQ、微信、等等都遵守这个规约，典型应用就是QQ快捷登录、微信快捷登录，很多网站都支持QQ快捷登录，你本来登录的是A网站，结果用的是你自己的QQ账号和密码。

SpringSecurity入门篇
SpringSecurity升级篇

一、高级篇概念

1、入门案例

就引入个依赖，什么注解也没加，访问普通接口，就出现security的登录页面了，用户名固定user，密码是启动生成的随机密码。
在这里插入图片描述

2、本质

是一个过滤器链（十几个，34个？）

本质就是十几个过滤器组成过滤器链处理
在这里插入图片描述
SpringBoot帮我们配置了第一个步骤，就是DelegatingFilterProxy（本质就是将所有Security的过滤器加载到过滤器链），所以我们不用再配置这步了。
在这里插入图片描述
在这里插入图片描述

二、web权限方案（单机版）-入门篇

1、四个个核心过滤器

U开头这个是认证的核心过滤器，就这一个，而且应该是security优先级第二批次的过滤器（不是很确定，反正在前面）。剩余两个是授权的核心过滤器。F开头那个又是security框架优先级最末的过滤器。
在这里插入图片描述
优先级第一的过滤器，将Authentication和Session进行绑定的牛逼过滤器
在这里插入图片描述
四个核心过滤器
在这里插入图片描述

2、设置登录用户名和密码（四种方式）

方式一

方式一 ： 配置yml文件
在这里插入图片描述

方式二

方式二：配置类 （这个Config类要继承一下WebSecurityConfigurerAdapter类）
在这里插入图片描述
配置类方式，就这边这一个类就搞定了
在这里插入图片描述

方式三

方式三 自定义编写实现类 在方式二的基础上，主要是实现UserDetailsService接口，实现用户名和密码从数据库取值
在这里插入图片描述
在这里插入图片描述
方式三强化转 查询数据库
在这里插入图片描述
在这里插入图片描述

方式四

其实还有方式四，就是写一个过滤器 extends UsernamePasswordAuthenticationFilter；
然后 重写三个方法
第一 重写 继承类父类也就是爷爷类里面的 认证成功和认证不成功两个方法
第二 重写 继承类的attemptAuthentication方法 （尚硅谷视频最后阶段就是用的方式四，个人觉得像产融平台这种方式三更简单，更舒服，只是不知道security框架的人，不好找，而方式四是个过滤器，相对更好理解。）

方式四系列截图
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

3、自定义设置登录页面

在这里插入图片描述

三、web权限方案（单机版）-权限认证

1、四个方法（五个）

hasAuthority

在这里插入图片描述
在这里插入图片描述
admins权限
在这里插入图片描述
admins权限对应起来。
在这里插入图片描述

hasAnyAuthority

在这里插入图片描述
配置文件中访问规则 里面有 两个 权限
在这里插入图片描述
登录用户只要有其中任何一个 就有权限访问
在这里插入图片描述
在这里插入图片描述

hasRole

在这里插入图片描述
源码
在这里插入图片描述
db数据库查询的要自己拼接ROLE_前缀
在这里插入图片描述
配置类 加角色 sale，源码会自动将该角色变为 ROLE_sale,所以注意数据库存的sale，在写代码的时候要拼接一下ROLE_前缀。
在这里插入图片描述
在这里插入图片描述

hasAnyRole

在这里插入图片描述
在这里插入图片描述

access

SpEL表达式，可以创建复杂的限制
在这里插入图片描述
在这里插入图片描述

2、自定义403页面

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

3、注解使用

注解判断是否有角色
在这里插入图片描述
方法访问前验证（配合四大方法）
在这里插入图片描述
方法访问后验证（配合四大方法）
在这里插入图片描述
对返回的数据再次进行过滤。案例中只返回 username=admin1的数据，其他数据不返回。
在这里插入图片描述
对传入的参数进行过滤。案例中能被2整除的id就是参数传过来，不能的就不传过来
在这里插入图片描述

4、注解对应代码

加上前缀ROLE_
在这里插入图片描述
@Secured(“ROLE_sale”)
在这里插入图片描述
@PreAuthorize(“hasAnyAuthority(‘menu:system’)”)
在这里插入图片描述

5、注解总结图

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

6、注销

在这里插入图片描述

7、记住我功能（类似10天内免登录）

原理图
在这里插入图片描述
备注：接口认证通过后，关闭浏览器，再次访问这个接口时不用再次输入登录账号和密码去验证，直接就可以访问成功。
原理：第一次接口认证通过后，会给浏览器发一个cookie加密串，并且这个串同时存到了数据库（源码里面会创建一张persistant_logins的表）;
浏览器关闭再次打开后二次访问接口时，会带上这个cookie加密串，然后和数据库对比，对比成功后，不用再次输入登录账号和密码去验证，直接就可以访问成功。
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
深坑，还得前端页面搞个复选框，而且name必须叫remember-me这种。
在这里插入图片描述
深坑啊
在这里插入图片描述
在这里插入图片描述

8、CSRF理解

默认开启了保护，但是get这种请求不支持保护。
在这里插入图片描述
默认是开启的，如果不关闭，前端html页面就必须得写后面截图那些固定标签，不然就验证不通过。所以还是设置关闭了。
在这里插入图片描述
还得需要前端html支持
在这里插入图片描述
在这里插入图片描述

四、微服务权限方案-入门篇

1、概念

在这里插入图片描述
在这里插入图片描述

2、入门案例

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
认证过滤器
在这里插入图片描述
在这里插入图片描述
授权过滤器
在这里插入图片描述
配置类的小扩展功能
在这里插入图片描述

五、微服务权限方案-源码分析（王炸）

1、认证流程源码分析

认证核心流程（UserDetailsService就在 这个UsernamePasswordAuthenticationFilter里面，看这样子这个过滤器也是security框架优先级第一的过滤器）
在这里插入图片描述
1到2步：不是post提交就直接放行了
在这里插入图片描述
3到4.1步
在这里插入图片描述
3到4.2步，特别注意4.2就是把 上下文 SecurityContextHolder.getContext().setAuthentication(authResult);设置了。就是这步设置的上下文哦。因为在2大步里面就关联了UserDetailsService查询了数据库的。所以这边4.2的authResult也就是Authentication接口已经有非常足够的信息了。
在这里插入图片描述
之前的第二大步进行具体解析，也就是2.1到2.2步了
在这里插入图片描述
这步最后一句代码就调用UserDetailsService了 ，也就是2.3步了，最后一句返回的就是Authentication接口，上面代码是未标记状态，最后一句后就变成了标记状态了。 最后一句代码 AuthenticaitonManager也是个接口，有个牛逼实现类ProviderManager。
在这里插入图片描述
对2.3步进行解析了，也就是2.31步，因为是对第二大步既 2 的详细解析，2这步返回了Authentication接口。
在这里插入图片描述
2.32步，AuthenticaitonManager也是个接口，有个牛逼实现类ProviderManager。AuthenticationProvider provider 也是个接口，有非常多实现类，其中一个实现类DaoAuthenticationProvider 就是和UserDetailsService关联了。
在这里插入图片描述
2.32步的实现类
在这里插入图片描述

2、认证流程图的补充

在这里插入图片描述

3、授权流程源码分析

在这里插入图片描述
在这里插入图片描述

4、授权流程图补充

在这里插入图片描述

5、请求间共享认证信息（源码分析）

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
源码分析
在这里插入图片描述
在这里插入图片描述

六、分布式

1、概念

在这里插入图片描述
肯定不用session，这玩意太耗费服务器性能
在这里插入图片描述
在这里插入图片描述
token是时代的宠儿
在这里插入图片描述
分布式最终架构图
在这里插入图片描述

2、OAuth2.0

OAuth2.0协议

3、github的OAuth2案例

登录github官网在到设置里面
在这里插入图片描述
在这里插入图片描述
第一次输入，要生成个秘钥
在这里插入图片描述
yml配置
在这里插入图片描述
pom的引入
在这里插入图片描述
注意 还不能用上面的Enable的注解 注意 截图错误 是 @Configuration 实际测试中，加上@Configuration也不行，都不加才可以，感觉就是没让security配置生效才管用。（测试证明，把整个security的配置干掉，都可以的。）
在这里插入图片描述
关键就是把这个配置出来
在这里插入图片描述
输入 http://localhost:8088/login后跳转到这个页面
在这里插入图片描述
点击github跳转到这边。登录以后跳转到报错页面，因为主要没有前端代码，所以404。 这个时候输入 新地址 hello等，就可以访问了。
在这里插入图片描述

蓝影铁哥
关注
  • 23
    点赞
  • 踩
  • 20
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
spring-security-3.0.7.RELEASE.zip
10-14
本篇文章将详细探讨Spring Security 3.0.7.RELEASE版本的核心特性和实际应用场景，通过源码分析，帮助开发者更深入地理解和掌握这一强大的安全框架。 一、Spring Security概述 Spring Security旨在提供认证...
【Spring Security】让你的项目更加安全的框架
wangluoanquan111的博客
01-31 897
安全框架顾名思义，就是解决系统安全问题的框架。任何应用开发的计划阶段都应该确定一组特定的安全需求，如身份验证、授权和加密方式。不使用安全框架之前，我们需要手动处理每个资源的访问控制，针对不同的项目都需要做不同的处理，此时就会显得非常麻烦，并且低效率引起的额外开销会延缓开发周期。使用安全框架，使开发团队能够选择最适合这些需求的框架，可以通过配置的方式实现对资源的访问限制，使得开发更加的高效。是一个基于Spring框架的安全性框架，可用于对Java应用程序进行身份验证、授权和其他安全性功能的添加。
Spring Security(一)初识Spring Security
TPH_BETTER.的博客
12-27 2491
一、 Spring Security概念 Spring Security是spring采用AOP思想，基于servlet过滤器实现的安全框架。它提供了完善的认证机制和方法级的 授权功能。是一款非常优秀的权限管理框架。 二、Spring Security简单入门 1、 创建web工程并导入jar包 Spring Security主要jar包功能介绍 ① spring-security-core.jar 核心包，任何Spring Security功能都需要此包。 ② spring-security-web.ja
SpringSecurity最新学习，spring-security-oauth2-authorization-server【spring-security-oauth2升级】
最新发布
小道仙的后宫
07-03 762
默认获取token是在 header中，还要拼接一个前缀 Bearer， 假如想改为从 url中获取 access_token， 只需要重写BearerTokenResolver// URI 中 Token 的参数名@Override// 从 URI 参数中获取 Token= null &&!上面的流程完成了授权和鉴权，但我们拿不到有用的参数，何为有用的参数比如： 用户的 userId不管是Opaque还是Jwt都可以在里面设置一些我们自己的参数——把参数放到 【claims】Opaque。
用 Grails 的 spring-security-core 插件实现用户登录、访问控制功能
杨波的专栏
04-15 899
本文介绍了如何用 grails 的 spring-security-core 插件实现用户登录、访问控制功能
升级Spring Security版本
pany_2017的博客
08-29 2504
Spring Security版本升级方法，及升级后出现的版本不兼容报错的解决办法
Spring Security和Spring Core 依赖冲突
wenhaipan的博客
05-29 2127
#概述 本文，我们将介绍如何用Maven配置Spring Security，并介绍Spring Security依赖项的具体用例。大家可以在Maven Central上找到最新的Spring Security版本。 #spring-security-core Spring Security的核心是——spring-security-core, 它包含认证和访问权限控制功能。此外，它还支持独立（非web）应用程序、方法级别注解等功能。 <properties> <spring-se.
简单几步升级Spring security4.x升级到5.x
YSOLA4的专栏
06-01 8951
本次升级源自一次安全漏洞提醒:项目用着spring-security4.1, 也是受到了该漏洞的影响. 知道从4.x跳到5.x这种大版本提升肯定会有不少坑, 但是安全问题不可忽视, 虽然是旧项目也要升级,还要得比较急.本着能省则省的心理, 那就先单独升级一下spring-security吧.从 升级了版本, 重新 maven reimport项目, clean&compile试试. 列举几个版本不兼容的错误(吐槽下IDEA的编译错误提醒没eclipse友好, 一次编译提示一个):居然就一个Md5Pas
spring-security-core-3.1.0.RC1.jar
04-29
在本篇文章中，我们将深入探讨Spring Security的核心库——`spring-security-core-3.1.0.RC1.jar`，以及它在安全领域的应用。 一、Spring Security简介 Spring Security是一款提供全面身份验证、授权和安全访问...
spring-5.0.0.Rjar包
10-11
本篇文章将深入探讨Spring 5.0.0.R的核心更新，帮助读者更好地理解和应用这一版本。 一、核心更新与改进 1. 支持Java 9：Spring 5.0.0.R全面兼容Java 9，利用其模块化特性提升了框架的可维护性和性能。开发者可以...
spring-5.2.9.RELEASE-dist.zip
01-25
本篇文章将聚焦于Spring框架的5.2.9.RELEASE版本，探讨其主要特性、改进以及在实际开发中的应用。 一、Spring框架概述 Spring作为一个开源的Java应用程序框架，以其IoC（Inversion of Control）容器和AOP（Aspect ...
spring-framework-5.1.20.RELEASE-dist.rar
12-24
本篇文章将围绕"spring-framework-5.1.20.RELEASE-dist.rar"这一官方发布的压缩包，深入探讨Spring Framework 5.1.20版本的关键特性和实际应用。 首先，Spring Framework 5.1系列是Spring的重要里程碑，它在5.0的...
Spring Security Core
漫游学海之旅
10-15 670
Spring Security Core 核心组件 SecurityContextHolder，提供访问SecurityContext的 SecurityContext，存储Authentication 和可能的请求安全信息 Authentication，表示在Spring Security机制中的一个访问者 GrantedAuthority，反映访问者在应用范围的权限 UserDetails，...
spring security依赖
yanshendeyinji的博客
10-19 6309
一依赖 1非springboot项目 （1）spring-security-core包含了认证和权限控制的功能，支持非web应用，以及方法安全及JDBC等，所以一般需要使用spring security框架，该依赖是必须的 （2）spring-security-web提供web支持，包含了一些Filters，Servlet环境下url控制等基础 （3）spring-security-config包含了丰富的Spring Security XML和注解，可以通过添加该依赖使用他们，其他支持 LDAP, ACL
Spring-Security-core插件使用教程
Grails&drupal
08-07 1782
作者： 伯特·贝克威思，贝弗利塔尔博特 版本： 1.2.7.3 1. 创建Grails应用程序 $ grails create-app bookstore $ cd bookstore 2. 安装该插件 $ grails install-plugin spring-security-core 3. 创建User和 Role 领域类。 $ grails s2-quickstart c
Spring——security安全框架使用详解（基于内存认证）
zyy030616的博客
01-03 1207
Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。它是保护基于Spring的应用程序的事实标准。Spring Security是一个专注于为Java应用程序提供身份验证和授权的框架。与所有Spring项目一样，Spring Security的真正威力在于它可以多么容易地扩展以满足定制需求。它是Spring家族中的一个安全管理框架。相比于另一个安全框架shiro,它提供了更丰富的功能，社区资源也比shiro丰富官方文档地址。
01 SpringSecurity项目搭建
01-12 666
Spring Security 的前身是 Acegi Security，在被收纳为Spring子项目后正式更名为Spring Security。 现在Spring Security已经升级到5.6.1.RELEASE版本，加入了原生OAuth2.0框架。（OAuth2具体概念自己搜索） 一、创建一个简单的SpringSecurity项目 1.创建项目 选择Spring Initializr，项目名SpringSecurityDemo, Jdk8 2.选择依赖 SpringBoot2.6.2版
密码加密/MD5/Spring Security Core
java_jiawawa的博客
01-20 580
密码加密三级目录1 背景2 MD5：可以破解3 Spring Security Core3.1 导入依赖3.2 创建：专门给密码加密的对象 BCryptPasswordEncoder3.2.1 spring核心之一：IOC3.2.2 创建Bean对象3.2.2.1 类上添加注解:@Configuration/@Service3.2.2.2 @Configuration+@Bean3.2.3 使用Bean对象3.2.3 创建BCryptPasswordEncoder对象 一级目录 三级目录 1 背景 密码在数
springboot版本升级，及解决springsecurity漏洞问题
喜羊羊love红太狼
05-06 1659
项目中要解决 Spring Security RegexRequestMatcher 认证绕过漏洞（CVE-2022-22978） 漏洞问题，并且需要将项目的版本整体升级到boot版本2.1.7，升级改造过程非常的痛苦，一方面对整个框架的代码不是很熟悉，另外对解决漏洞问题相对较少。但是明明可以用鼠标点击进去，此类问题经常是idea，什么缓存，或者是pom依赖下载不全导致，然后就陷入了这个误区，一直以为是idea的问题，然后idea缓存清理了很多次还是无法解决。此时我就怀疑可能不是idea的问题了。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

蓝影铁哥

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值