SpringBoot集成Spring Security（6）——自定义登录管理

最新推荐文章于 2024-07-25 22:33:38 发布
最新推荐文章于 2024-07-25 22:33:38 发布
阅读量1.2k 收藏 3
点赞数
分类专栏： Spring Boot Spring Security 文章标签： spring spring boot
原文链接：https://blog.csdn.net/yuanlaijike/article/details/84638745
版权

SpringBoot集成Spring Security（6）——自定义登录管理

1. 自定义认证成功、失败处理

  有些时候在认证成功后做一些业务处理，例如添加积分；有些时候在认证失败后也做一些业务处理，例如记录日志。
  在之前的文章中，关于认证成功、失败后的处理都是如下配置的：
在这里插入图片描述
  即 failureUrl() 指定认证失败后Url，defaultSuccessUrl() 指定认证成功后Url。我们可以通过设置 successHandler() 和 failureHandler() 来实现自定义认证成功、失败处理。

PS:当我们完成自定义的登录处理之后需要将默认的failureUrl()和defaultSuccessUrl()注释掉

1.1 自定义登陆成功
  自定义 CustomAuthenticationSuccessHandler 类来实现 AuthenticationSuccessHandler 接口，用来处理认证成功后逻辑：

@Component
public class CustomAuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    private Logger logger= LoggerFactory.getLogger(getClass());

    @Override
    public void onAuthenticationSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {
        logger.info("登陆成功，{}",authentication);

        httpServletResponse.sendRedirect("/success");
    }
}

  onAuthenticationSuccess() 方法的第三个参数 Authentication 为认证后该用户的认证信息，这里打印日志后，重定向到了/success页面

1.2 自定义登陆失败
  自定义 CustomAuthenticationFailureHandler 类来实现 AuthenticationFailureHandler 接口，用来处理认证失败后逻辑：

@Component
public class CustomAuthenticationFailureHandler implements AuthenticationFailureHandler {

    @Autowired
    private ObjectMapper objectMapper;

    private Logger logger= LoggerFactory.getLogger(getClass());

    @Override
    public void onAuthenticationFailure(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {
        logger.info("登陆失败");

        //修改状态码
        httpServletResponse.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value());
        httpServletResponse.setContentType("application/json;charset=utf-8");
        httpServletResponse.getWriter().write(objectMapper.writeValueAsString(e.getMessage()));
    }
}

  onAuthenticationFailure()方法的第三个参数 exception 为认证失败所产生的异常，这里也是简单的返回到前台

1.3 修改 WebSecurityConfig
  注入CustomAuthenticationSuccessHandler successHandler和CustomAuthenticationFailureHandler failureHandler
在这里插入图片描述
1.4 运行程序
  登陆成功:
在这里插入图片描述
  登陆失败前端界面
在这里插入图片描述
  登陆失败后端输出
在这里插入图片描述

2. 设置Session 时间

  当用户登录后，可以设置 session 的超时时间，当达到超时时间后，自动将用户退出登录。
  Session 超时的配置是 SpringBoot 原生支持的，只需要在 application.properties 配置文件中配置：

# session 过期时间，单位：秒
server.session.servlet.timeout=60

PS:从用户最后一次操作开始计算过期时间。过期时间最小值为 60 秒，如果你设置的值小于 60 秒，也会被更改为 60 秒。

  接着在WebSecurityConfig添加该功能:

                .and()
                .sessionManagement()
                .invalidSessionUrl("/login/invalid");

  Spring Security 提供了两种处理配置，一个是 invalidSessionStrategy()，另外一个是 invalidSessionUrl()。这两个的区别就是一个是前者是在一个类中进行处理，后者是直接跳转到一个 Url。简单起见，就直接用 invalidSessionUrl()了，跳转到 /login/invalid，需要把该 Url 设置为免授权访问， 配置如下：

.antMatchers("/getVerifyCode","/login/invalid").permitAll()

...
.and()
.sessionManagement()
.invalidSessionUrl("/login/invalid");

  在 controller 中写一个接口进行处理：

    //设置session
    @RequestMapping("/login/invalid")
    @ResponseBody
    @ResponseStatus(HttpStatus.UNAUTHORIZED)
    public String invalid(){
        return "session 已过期，请重新登录";
    }

  运行程序，登陆成功后等待一分钟（或者重启服务器），刷新页面：
在这里插入图片描述

3. 设置最大登录数

  接下来实现限制最大登陆数，原理就是限制单个用户能够存在的最大 session 数
在这里插入图片描述

  • maximumSessions(int)：指定最大登录数

  • maxSessionsPreventsLogin(boolean)：是否保留已经登录的用户；为true，新用户无法登录；为false，旧用户被踢出

  • expiredSessionStrategy(SessionInformationExpiredStrategy)：旧用户被踢出后处理方法

     PS:maxSessionsPreventsLogin()可能不太好理解，先设为 false，效果和 QQ 登录是一样的，登陆后之前登录的账户被踢出。

  编写 CustomExpiredSessionStrategy 类，来处理旧用户登陆失败的逻辑：

public class CustomExpiredSessionStrategy implements SessionInformationExpiredStrategy {

    private ObjectMapper objectMapper=new ObjectMapper();

    //    private RedirectStrategy redirectStrategy = new DefaultRedirectStrategy();

    @Override
    public void onExpiredSessionDetected(SessionInformationExpiredEvent event) throws IOException, ServletException {
        Map<String,Object> map=new HashMap<>();
        map.put("code",0);
        map.put("msg","该账号在另一处登录，您被迫下线:"+event.getSessionInformation().getLastRequest());

        //map转json
        String json=objectMapper.writeValueAsString(map);

        event.getResponse().setContentType("application/json;charset=utf-8");
        event.getResponse().getWriter().write(json);

        // 如果是跳转html页面，url代表跳转的地址
        // redirectStrategy.sendRedirect(event.getRequest(), event.getResponse(), "url");
    }
}

  在 onExpiredSessionDetected() 方法中，处理相关逻辑，这里只是简单的返回一句话。执行程序，打开两个浏览器，登录同一个账户。因为设置了 maximumSessions(1)，也就是单个用户只能存在一个 session，因此当你刷新先登录的那个浏览器时，被提示踢出了。
在这里插入图片描述

  下面来测试下 maxSessionsPreventsLogin(true)时的情况，发现第一个浏览器登录后，第二个浏览器无法登录：
在这里插入图片描述

4. 踢出用户

  首先需要在容器中注入名为 SessionRegistry 的 Bean，这里就写在 WebSecurityConfig 中：

    //主动踢出用户
    @Bean
    public SessionRegistry sessionRegistry() {
        return new SessionRegistryImpl();
    }

  修改 WebSecurityConfig 的 configure() 方法，在最后添加一行 .sessionRegistry()：
在这里插入图片描述
  编写一个接口用于测试踢出用户：

//踢出用户
    @Autowired
    private SessionRegistry sessionRegistry;

    @GetMapping("/kick")
    @ResponseBody
    public String removeUserSessionByUsername(@RequestParam String username){
        int count=0;

        //获取session中的所有用户信息
        List<Object> users=sessionRegistry.getAllPrincipals();
        for(Object user:users){
            if(user instanceof User){
                String userName = ((User) user).getUsername();
                if(userName.equals(username)){
                    //参数二:是否包含过期的session
                    List<SessionInformation> sessionInfo=sessionRegistry.getAllSessions(user,false);
                    if(sessionInfo!=null && sessionInfo.size()>0){
                        for(SessionInformation sessionInformation:sessionInfo){
                            sessionInformation.expireNow();
                            count++;
                        }
                    }
                }
            }
        }
        return "操作成功，清理session共"+count+"个";
    }
  • sessionRegistry.getAllPrincipals(); 获取所有用户主要信息
  • 通过 user.getUsername 是否等于输入值，获取到指定用户的 principal
  • sessionRegistry.getAllSessions(userl, false)获取该 principal 上的所有
    session
  • 通过 sessionInformation.expireNow() 使得 session 过期,踢出用户

   运行程序，分别使用 admin 和zhangsan 账户登录，admin 访问 /kick?username=zhangsan 来踢出用户zhangsan，zhangsan 刷新页面，发现被踢出。
在这里插入图片描述

5.退出登录

   直接在 WebSecurityConfig 的 configure() 方法中进行配置，需要处理以下的一些流程:

  • 使当前的 session 失效
  • 清除与当前用户有关的 remember-me 记录
  • 清空当前的 SecurityContext
  • 重定向到登录页
    在这里插入图片描述
       创建类 CustomLogoutSuccessHandler，用来进行退出成功后的逻辑：
@Component
public class CustomLogoutSuccessHandler implements LogoutSuccessHandler {
    private Logger logger= LoggerFactory.getLogger(getClass());

    @Override
    public void onLogoutSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {
        String username=((User)authentication.getPrincipal()).getUsername();
        logger.info("退出成功，用户名:{}",username);

        //重定向到登录界面
        httpServletResponse.sendRedirect("/login");
    }
}

   最后把它注入到 WebSecurityConfig 即可：

    //退出登录
    @Autowired
    private CustomLogoutSuccessHandler logoutSuccessHandler;

   程序运行
在这里插入图片描述

6. Session共享

   关于 Session 共享，一般情况下，一个程序为了保证稳定至少要部署两个，构成集群。那么就牵扯到了 Session 共享的问题，不比如用户在 8001 登录成功后，后续访问了 8002 服务器，结果又提示没有登录。
   这里就简单实现下 Session 共享，采用 Redis 来存储。
6.1 配置redis
   为了方便起见，我直接使用 Docker 快速部署

docker pull redis
docker run --name myredis -p 6379:6379 -d redis
docker exec -it myredis redis-cli

在这里插入图片描述
  地址：127.0.0.1；端口号:6379
6.2 配置session共享

  • 导入依赖
     <!--session共享-->
     <dependency>
       <groupId>org.springframework.boot</groupId>
       <artifactId>spring-boot-starter-data-redis</artifactId>
     </dependency>
     <dependency>
       <groupId>org.springframework.session</groupId>
       <artifactId>spring-session-data-redis</artifactId>
     </dependency>
  • 在配置文件中配置redis
在这里插入代码片#配置redis
spring.redis.host=127.0.0.1
spring.redis.port=6379

spring.session.store-type=redis
  • 启动类添加 @EnableRedisHttpSession 注解
@EnableRedisHttpSession
@SpringBootApplication
public class Application {
    public static void main(String[] args) {

        SpringApplication.run(Application.class,args);
    }
 }

6.2 配置项目多端口
在这里插入图片描述
  配置第一个端口：
在这里插入图片描述
  配置第二个端口：
在这里插入图片描述
  最后将两个打包放在Compound，将Application以及Application2添加到Compound启动项目：
在这里插入图片描述

在这里插入图片描述
  运行程序：
在这里插入图片描述
  进入redis查看下所拥有的的key
在这里插入图片描述

啊啊啊啊～～～～
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
springboot+security+mybatis-plus实现自定义认证用户数据源的接口开发
05-12
在本项目中，我们主要探讨如何使用Spring Boot、Spring Security以及MyBatis-Plus来构建一个自定义认证用户的接口开发。这些技术都是Java生态中非常流行且强大的工具，尤其适用于快速开发企业级应用。 首先，Spring...
SpringBoot-Security
05-26
SpringBoot-Security是基于Spring Boot的轻量级安全框架，用于简化Spring Security的集成和配置。这个框架使得在Spring Boot应用中实现身份验证和授权变得简单。本文将深入探讨SpringBoot-Security的两种配置方式...
SpringBoot 整合 SpringSecurity——自定义登录页面
m0_51976820的博客
04-09 4368
SpringBoot 整合 SpringSecurity——自定义登录页面
SpringSecurity6从入门到实战之SpringSecurity整合自动装配详解(源码级讲解,耐心看完)
helloworld工程师的博客
06-03 1392
这里我先引出问题然后再来一步步进行剖析,SpringSecurity到底是如何实现引入依赖后所有请求都需要进行认证并且会弹出login登录表单页面.接下来会对SpringBoot的自动装配进行详解,SpringSecurity也是通过自动装配实现以上一系列操作的。
SpringBoot集成Spring Security（6）——登录管理
Jitwxs
11-29 1万+
文章目录一、限制最大登录数二、踢出用户 在本篇中，主要关注登录的管理，因此代码使用最原始版本的即可，即《SpringBoot集成Spring Security（1）——入门程序》源码即可。 源码地址：https://github.com/jitwxs/blog_sample 一、限制最大登录数 修改 WebSecurityConfig 的 configure() 方法，关键代码如下： .ses...
SpringBoot集成Spring Security（4）——自定义表单登录
qq_39371480的博客
08-13 355
SpringBoot集成Spring Security（4）——自定义表单登录 1.添加验证码功能 1.1 验证码程序  从网上拉取一段建立验证码的程序: package cn.it.test.Servlet; import javax.imageio.ImageIO; import javax.servlet.ServletException; import javax.servlet.ServletOutputStream; import javax.servlet.http.HttpServlet;
springboot 集成 spring security 自定义登录
Json的博客
05-11 139
springboot 集成 spring security 自定义登录 转载于：https://www.cnblogs.com/wuzhenzhao/p/13095714.html
SpringBoot集成Spring Security（5）——权限控制
qq_39371480的博客
08-14 431
SpringBoot集成Spring Security（5）——权限控制   这里的权限只是对角色赋予权限，也就是说同一个角色的用户，权限是一样的。 1. 表结构 CREATE TABLE `sys_permission` ( `id` int(11) NOT NULL AUTO_INCREMENT, `url` varchar(50) DEFAULT NULL, `role_id` int(11) DEFAULT NULL, `permission` varchar(20) DEFAULT
SpringBoot集成Spring Security（3）——异常处理
热门推荐
Jitwxs
05-09 2万+
Step1 常见异常 Step2 源码分析 Step3 处理异常 不知道你有没有注意到，当我们登陆失败时候，spring security帮我们跳转到了/login?error，奇怪的是不管是控制台还是网页上都没有打印错误信息。 这是因为首先/login?error是spring security默认的失败url，其次如果你不手动处理这个异常，这个异常是不会被处理...
超详细——SpringBoot整合Spring Security
椿尼的博客
02-26 966
简介 Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。它是用于保护基于Spring的应用程序的实际标准。 Spring Security是一个框架，致力于为Java应用程序提供身份验证和授权。与所有Spring项目一样，Spring Security的真正强大之处在于可以轻松扩展以满足自定义要求。 SpringBoot底层默认的安全框架技术选型就是Spring Security，我们只需要简单的配置即可实现安全管理。 特征 全面和可扩展的身份验证和授权支持 防御会话固定，
SpringBoot整合SpringSecurity
希望有志同道合的的朋友可以互相学习！
10-31 211
Spring Security是一个Java框架，用于保护应用程序的安全性。它提供了一套全面的安全解决方案，包括身份验证、授权、防止攻击等功能。Spring Security基于过滤器链的概念，可以轻松地集成到任何基于Spring的应用程序中。它支持多种身份验证选项和授权策略，开发人员可以根据需要选择适合的方式。此外，Spring Security还提供了一些附加功能，如集成第三方身份验证提供商和单点登录，以及会话管理和密码编码等。总之，Spring Security是一个强大且易于使用的框架
SpringSecurity（02）——自定义登录和退出处理器
peng_gx的博客
01-13 1157
SpringSecurity自定义登录和退出处理器
springboot+用户登录+用户管理
06-05
综上所述，"springboot+用户登录+用户管理"项目涵盖了Spring Boot应用的基础构建、Spring Security的认证授权机制，以及用户管理的相关设计和实现。通过这个项目，开发者可以深入理解Spring Boot的实战应用，同时...
Spring Security 3系列文章——入门篇(一)
04-02
**Spring Security 3 系列文章——入门篇(一)** Spring Security 是一个强大的和高度可定制的身份验证和访问控制框架，广泛应用于Java企业级应用和Spring Boot项目中。本篇将作为Spring Security 3的入门介绍，帮助...
springboot+jsp+xquery实现登录认证
07-10
6. **权限控制**：一旦用户成功登录，Spring Security将自动处理授权。你可以使用`@PreAuthorize`或`@Secured`注解来限制对特定资源的访问，或者通过配置HTTP安全规则来实现。 7. **注销功能**：提供一个注销链接或...
Springboot循环依赖的解决方式
weixin_44001317的博客
07-24 480
这个其实我也不好说，我自己写代码从来没有发现有循环依赖的问题，每个类确定好自己的职责，将方法正确的放入该类去引用bean一般就不会出现这种问题。这里我就描述一下循环依赖的产生吧，就是在容器启动过程准备bean的时候，会检测bean中是否注入了别的依赖，如果有就再去生成别的依赖对象注入到bean中，但是会发生这么一种情况，我有A,B两个@service，在A类中我通过注解引入B，然后再在B类中通过注解引入A，这个时候理论上就会无限产生A和B的实例，递归创建bean了属于是。
基于SpringBoot实现验证码功能
m0_63624484的博客
07-24 1577
现在的登录都需要输入验证码用来检测是否是真人登录，所以验证码功能在现在是非常普遍的，那么接下来我们就基于springboot来实现验证码功能。
Spring boot 配置文件
最新发布
2301_79547900的博客
07-25 503
properties使用key=value的形式配置键类型的配置文件，而yml使用的是树形结构来配置yml层级之间使⽤换⾏缩进的⽅式配置，key和value，之间使⽤": "(英⽂冒号)加空格的⽅式设置，并且空格不可省略。properties是早期默认的配置文件格式，其配置存在一定的冗余，使用yml可以很好解决这些问题。yml和properties可以共存，但建议只使用一种，可以降低故障率。
Springboot集成SpringSecurity实现登录和权限管理代码
06-07
好的，下面是 SpringBoot 集成 SpringSecurity 实现登录和权限管理的示例代码： 首先，我们需要在 pom.xml 中添加 SpringSecurity 的依赖： ```xml <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> ``` 然后，我们需要创建一个继承了 WebSecurityConfigurerAdapter 的配置类，并且使用 @EnableWebSecurity 注解启用 SpringSecurity： ```java @Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Autowired private UserDetailsService userDetailsService; @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(userDetailsService); } @Override protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/admin/**").hasRole("ADMIN") .antMatchers("/user/**").hasRole("USER") .anyRequest().authenticated() .and() .formLogin().loginPage("/login").permitAll() .and() .logout().permitAll(); } @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } } ``` 在上面的代码中，我们通过 configure(AuthenticationManagerBuilder auth) 方法指定了使用哪个 UserDetailsService 来获取用户信息，通过 configure(HttpSecurity http) 方法配置了哪些 URL 需要哪些角色才能访问，以及登录页面和退出登录的 URL。 接下来，我们需要实现 UserDetailsService 接口，用来获取用户信息： ```java @Service public class UserDetailsServiceImpl implements UserDetailsService { @Autowired private UserRepository userRepository; @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { User user = userRepository.findByUsername(username); if (user == null) { throw new UsernameNotFoundException("用户不存在"); } List<GrantedAuthority> authorities = new ArrayList<>(); for (Role role : user.getRoles()) { authorities.add(new SimpleGrantedAuthority(role.getName())); } return new org.springframework.security.core.userdetails.User(user.getUsername(), user.getPassword(), authorities); } } ``` 在上面的代码中，我们通过 UserRepository 来获取用户信息，并且将用户的角色转换成 GrantedAuthority 对象。 最后，我们需要创建一个控制器来处理登录和退出登录的请求： ```java @Controller public class LoginController { @GetMapping("/login") public String login() { return "login"; } @GetMapping("/logout") public String logout(HttpServletRequest request, HttpServletResponse response) { Authentication authentication = SecurityContextHolder.getContext().getAuthentication(); if (authentication != null) { new SecurityContextLogoutHandler().logout(request, response, authentication); } return "redirect:/login?logout"; } } ``` 在上面的代码中，我们通过 @GetMapping 注解来处理登录和退出登录的请求，并且在退出登录成功后重定向到登录页面。 以上就是 SpringBoot 集成 SpringSecurity 实现登录和权限管理的示例代码，希望对你有所帮助。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值