该博客详细介绍了如何使用Spring Security搭建安全控制工程，包括配置自定义登录页面、从数据库读取用户信息进行身份验证、密码加密、配置多种权限校验规则以及对方法的权限控制。此外，还涵盖了退出登录的实现方法。
spring-security学习
工程搭建
文件结构
pom.xml
<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
<modelVersion>4.0.0</modelVersion>
<groupId>com.ahu</groupId>
<artifactId>SpringSecurity_Demo</artifactId>
<version>1.0-SNAPSHOT</version>
<packaging>war</packaging>
<name>SpringSecurity_Demo</name>
<properties>
<project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
<maven.compiler.source>1.8</maven.compiler.source>
<maven.compiler.target>1.8</maven.compiler.target>
</properties>
<dependencies>
<dependency>
<groupId>com.ahu</groupId>
<artifactId>health_interface</artifactId>
<version>1.0-SNAPSHOT</version>
</dependency>
</dependencies>
<build>
<plugins>
<plugin>
<groupId>org.apache.tomcat.maven</groupId>
<artifactId>tomcat7-maven-plugin</artifactId>
<configuration>
<!-- 指定端口 -->
<port>85</port>
<!-- 请求路径 -->
<path>/</path>
</configuration>
</plugin>
</plugins>
</build>
</project>
spring-security.xml
<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:context="http://www.springframework.org/schema/context"
xmlns:dubbo="http://code.alibabatech.com/schema/dubbo"
xmlns:mvc="http://www.springframework.org/schema/mvc"
xmlns:security="http://www.springframework.org/schema/security"
xsi:schemaLocation="http://www.springframework.org/schema/beans
http://www.springframework.org/schema/beans/spring-beans.xsd
http://www.springframework.org/schema/mvc
http://www.springframework.org/schema/mvc/spring-mvc.xsd
http://code.alibabatech.com/schema/dubbo
http://code.alibabatech.com/schema/dubbo/dubbo.xsd
http://www.springframework.org/schema/context
http://www.springframework.org/schema/context/spring-context.xsd
http://www.springframework.org/schema/security
http://www.springframework.org/schema/security/spring-security.xsd">
<!--
http：用于定义相关权限控制
指定哪些资源不需要进行权限校验，可以使用通配符
-->
<security:http security="none" pattern="/login.html" />
<security:http security="none" pattern="/pages/a.html" />
<!--
http：用于定义相关权限控制
auto-config：是否自动配置
设置为true时框架会提供默认的一些配置，例如提供默认的登录页面、登出处理等
设置为false时需要显示提供登录表单配置，否则会报错
use-expressions：用于指定intercept-url中的access属性是否使用表达式
-->
<security:http auto-config="true" use-expressions="true">
<!--
form-login：定义表单登录信息
-->
<security:form-login login-page="/login.html"
username-parameter="usr"
password-parameter="pwd"
login-processing-url="/login.do"
default-target-url="/index.html"
authentication-failure-url="/login.html"/>
<security:csrf disabled="true"/>
<!--
intercept-url：定义一个拦截规则
pattern：对哪些url进行权限控制
access：在请求对应的URL时需要什么权限，默认配置时它应该是一个以逗号分隔的角色列表，
请求的用户只需拥有其中的一个角色就能成功访问对应的URL
-->
<security:intercept-url pattern="/**" access="hasRole('ROLE_ADMIN')" />
</security:http>
<!--
authentication-manager：认证管理器，用于处理认证操作
-->
<security:authentication-manager>
<!--
authentication-provider：认证提供者，执行具体的认证逻辑
-->
<security:authentication-provider>
<!--
user-service：用于获取用户信息，提供给authentication-provider进行认证
-->
<security:user-service>
<!--
user：定义用户信息，可以指定用户名、密码、角色，后期可以改为从数据库查询用户信息
{noop}：表示当前使用的密码为明文
-->
<security:user name="admin" password="{noop}admin" authorities="ROLE_ADMIN" />
</security:user-service>
</security:authentication-provider>
</security:authentication-manager>
</beans>
web.xml
<!DOCTYPE web-app PUBLIC
"-//Sun Microsystems, Inc.//DTD Web Application 2.3//EN"
"http://java.sun.com/dtd/web-app_2_3.dtd" >
<web-app>
<display-name>Archetype Created Web Application</display-name>
<filter>
<!--
DelegatingFilterProxy用于整合第三方框架
整合Spring Security时过滤器的名称必须为springSecurityFilterChain，
否则会抛出NoSuchBeanDefinitionException异常
-->
<filter-name>springSecurityFilterChain</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
<filter-name>springSecurityFilterChain</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
<servlet>
<servlet-name>springmvc</servlet-name>
<servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
<!-- 指定加载的配置文件 ，通过参数contextConfigLocation加载 -->
<init-param>
<param-name>contextConfigLocation</param-name>
<param-value>classpath:spring-security.xml</param-value>
</init-param>
<load-on-startup>1</load-on-startup>
</servlet>
<servlet-mapping>
<servlet-name>springmvc</servlet-name>
<url-pattern>*.do</url-pattern>
</servlet-mapping>
</web-app>
优化
使用自定义的登录页面login.html
1.login.html
<!DOCTYPE html>
<html>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<head>
<title>登录</title>
</head>
<body>
<h3>登录页面</h3>
<form action="/login.do" method="post">
username：<input type="text" name="usr"><br>
password：<input type="password" name="pwd"><br>
<input type="submit" value="submit">
</form>
</body>
</html>
2.修改spring-security.xml文件，指定login.html页面可以匿名访问
<security:http security="none" pattern="/login.html" />
3.修改spring-security.xml文件，加入表单登录信息的配置,必须配置将csrf protection关闭
原因： spring security默认情况下csrf protection是开启的,由于自定义的登录页没有配置csrf的相关信息，因此spring security内置的过滤器将此链接置为无效链接
查看框架自带的登录页面的源码：
<security:http auto-config="true" use-expressions="true">
<!--
form-login：定义表单登录信息
-->
<security:form-login login-page="/login.html"
username-parameter="usr"
password-parameter="pwd"
login-processing-url="/login.do"
default-target-url="/index.html"
authentication-failure-url="/login.html"/>
<security:csrf disabled="true"/>
<!--
intercept-url：定义一个拦截规则
pattern：对哪些url进行权限控制
access：在请求对应的URL时需要什么权限，默认配置时它应该是一个以逗号分隔的角色列表，
请求的用户只需拥有其中的一个角色就能成功访问对应的URL
-->
<security:intercept-url pattern="/**" access="hasRole('ROLE_ADMIN')" />
</security:http>
配置csrf完成后可以正常访问登录页面，成功登录后能正常跳转
从数据库读取账密验证
必须实现UserDetailsService接口，查看源码org.springframework.security.core.userdetails.User，可知还需要设置权限列表
package com.ahu.security;
import com.ahu.pojo.User;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import java.util.ArrayList;
import java.util.HashMap;
import java.util.List;
import java.util.Map;
public class UserService implements UserDetailsService {
//模拟数据库查询
public static Map<String, User> map = new HashMap<>();
static {
User user1 = new User();
user1.setUsername("zhangsan");
user1.setPassword("123");
User user2 = new User();
user2.setUsername("lisi");
user2.setPassword("123");
map.put(user1.getUsername(), user1);
map.put(user2.getUsername(), user2);
}
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
System.out.println("username:" + username);
//模拟查询数据库
User userInDb = map.get(username);
if (userInDb == null) {
return null;
}
//模拟数据库查询密码
String passwordInDb = "{noop}" + userInDb.getPassword();
//设置权限
List<GrantedAuthority> authoritie = new ArrayList<>();
authoritie.add(new SimpleGrantedAuthority("ROLE_ADMIN"));
authoritie.add(new SimpleGrantedAuthority("add"));
authoritie.add(new SimpleGrantedAuthority("delete"));
UserDetails userDetails = new org.springframework.security.core.userdetails.User(username, passwordInDb, authoritie);
return userDetails;
}
}
在spring-security.xml中配置
<security:authentication-manager>
<!--
authentication-provider：认证提供者，执行具体的认证逻辑
-->
<security:authentication-provider user-service-ref="userService">
<!--
user-service：用于获取用户信息，提供给authentication-provider进行认证
-->
<!-- <security:user-service>-->
<!-- <!–-->
<!-- user：定义用户信息，可以指定用户名、密码、角色，后期可以改为从数据库查询用户信息-->
<!-- {noop}：表示当前使用的密码为明文-->
<!-- –>-->
<!-- <security:user name="admin" password="{noop}admin" authorities="ROLE_ADMIN" />-->
<!-- </security:user-service>-->
</security:authentication-provider>
断点调试确实进入了自定义的service
加密
使用crypto方式加密,框架已经集成了
<!--配置密码加密对象-->
<bean id="passwordEncoder"
class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder" />
测试类进行测试
public class MainTest {
@Test
public void testCrypto(){
//$2a$10$YB0yuR1jCooZB53bwfnWSuAqzgl0PJR064ECYobEd/h9L5P/vjbiO
//$2a$10$ohXiStX.lR0WaU94O80Nhu3ZZHKLLlqtxIoaOaN3jgxnQ7UQtFQhi
BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
String password_en = passwordEncoder.encode("1234");
// System.out.println(password_en);
boolean res = passwordEncoder.matches("1234", "$2a$10$ohXiStX.lR0WaU94O80Nhu3ZZHKLLlqtxIoaOaN3jgxnQ7UQtFQhi");
System.out.println(res);
}
}
在框架中使用直接配置即可，框架自动完成校验
<security:authentication-manager>
<!--
authentication-provider：认证提供者，执行具体的认证逻辑
-->
<security:authentication-provider user-service-ref="userService">
<security:password-encoder ref="passwordEncoder"/>
<!--
user-service：用于获取用户信息，提供给authentication-provider进行认证
-->
<!-- <security:user-service>-->
<!-- <!–-->
<!-- user：定义用户信息，可以指定用户名、密码、角色，后期可以改为从数据库查询用户信息-->
<!-- {noop}：表示当前使用的密码为明文-->
<!-- –>-->
<!-- <security:user name="admin" password="{noop}admin" authorities="ROLE_ADMIN" />-->
<!-- </security:user-service>-->
</security:authentication-provider>
</security:authentication-manager>
配置多种校验规则
isAuthenticated表示登录后可用，查看源码都是有对应的java类的
<!--只要认证通过就可以访问-->
<security:intercept-url pattern="/index.jsp" access="isAuthenticated()" />
<security:intercept-url pattern="/a.html" access="isAuthenticated()" />
<!--拥有add权限就可以访问b.html页面-->
<security:intercept-url pattern="/b.html" access="hasAuthority('add')" />
<!--拥有ROLE_ADMIN角色就可以访问c.html页面-->
<security:intercept-url pattern="/c.html" access="hasRole('ROLE_ADMIN')" />
<!--拥有ROLE_ADMIN角色就可以访问d.html页面，
注意：此处虽然写的是ADMIN角色，框架会自动加上前缀ROLE_-->
<security:intercept-url pattern="/d.html" access="hasRole('ADMIN')" />
配置对方法的权限控制
上面的权限控制都是针对静态资源的，如果想要对方法进行权限控制可以使用注解配置
增加配置
<!--可以使用mvc的所有注解-->
<mvc:annotation-driven></mvc:annotation-driven>
<!--对controller进行包扫描-->
<context:component-scan base-package="com.ahu.controller"></context:component-scan>
<!--开启注解方式权限控制-->
<security:global-method-security pre-post-annotations="enabled" />
HelloController.java
@RestController
@RequestMapping("/")
public class HelloController {
@RequestMapping("/add")
@PreAuthorize("hasAuthority('add')")//表示用户必须拥有add权限才能调用当前方法
public String add(){
System.out.println("add...");
return "success";
}
@RequestMapping("/delete")
@PreAuthorize("hasRole('ROLE_ADMIN')")//表示用户必须拥有ROLE_ADMIN角色才能调用当前方法
public String delete(){
System.out.println("delete...");
return "success";
}
}
退出登录
用户完成登录后Spring Security框架会记录当前用户认证状态为已认证状态，即表示用户登录成功了。那用户如何退出登录呢？可以在spring-security.xml文件中进行如下配置：
<!--
logout：退出登录
logout-url：退出登录操作对应的请求路径
logout-success-url：退出登录后的跳转页面
-->
<security:logout logout-url="/logout.do"
logout-success-url="/login.html" invalidate-session="true"/>
查看源码
要退出登录，只需要请求/logout.do这个URL地址就可以，同时会将当前session失效，最后页面会跳转到login.html页面。
376
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
