SpringBoot 15 SpringSecurity

已于 2022-08-03 08:11:35 修改
阅读量229 收藏
点赞数
分类专栏： 学习笔记 文章标签： spring boot java spring
于 2022-08-02 15:09:08 首次发布
BY-牟泉禹/MuQuanyu
本文链接：https://blog.csdn.net/qq_52606908/article/details/126113978
版权

15.1 SpringSecurity

小细节：在实际开发中，可能发现 存储的 date 不实时，总是差那么一天。或者几个小时，这是因为 时区的问题。DataSource 的 url 那里，建议设置为 Asia/Shanghai。这样就不会 有那么 大的 时差了。

在 WEB 开发中，安全肯定是第一位！要不然 也不可能 有过滤器，拦截器 这些东西。它们做一些简单的验证还可以。但是 光用它们来做安全还是远远不够的（毕竟咱们自己写的话，很难写的很好。）。所以 Spring 推出了 SpringSecurity

这里要注意的是：安全这个东西，是 非功能性需求，一个应用能不能跑不起来，其实跟 安全关系不大。所以设置不设置安全 也完全 凭开发者自己。（比如，你害怕网站被攻击，崩溃挂掉。或者是 网站存储的信息被泄露等等一系列问题时，那么你就肯定需要做 安全了。不过现在的应用都是直接在设计之初就开始做安全的。否则后期再想起来做安全，成本是很大的。）

shiro 和 SpringSecurity：它们之间 很像很像，除了类的名字、方法的名字不一样，剩下的都一样。

安全主要做两个方面：认证 授权

  • 功能权限（哪些用户可以使用什么功能）
  • 访问权限（有些人能访问这个页面，有些人访问不了）
  • 菜单权限（有些人能看到 某个菜单，有些人看不到。）
  • …… 这些东西 其实都可以 用 拦截器和 过滤器 来做。但是我们不希望 这种东西 去写 大量的原生代码。

记住下面这几个类 其实就可以了

  • WebSecurityConfigurerAdapter：自定义 Security 策略
  • AuthenticationManagerBuilder：自定义认证策略
  • @EnableWebSecurity：开启 WebSecurity 模式。我们在学习 SpringCloud 的时候，开启某个功能 基本上 都是 @Enable xxx 注解

Spring Security 的两个 主要目标 是 “认证” 和 “授权” （访问控制）

  1. 导入 security 包
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
  1. 继承 WebSecurityConfigurerAdapter 类，写授权代码
package top.muquanyu.config;


import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // 授权
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/").permitAll()
                .antMatchers("/level1/**").hasAnyRole("vip1")
                .antMatchers("/level2/**").hasAnyRole("vip2")
                .antMatchers("/level3/**").hasAnyRole("vip3");

        // 没有权限的默认 会到登录页面，需要开启登录的页面
        http.formLogin();
        
        // 开启注销的功能
        http.logout(); // 默认 走的 请求 是 /logout
    }

一般情况下，都在这里写 访问 某个 页面，需要 的授权角色。和没有这个授权的角色情况下，是否跳到一个 登录页面。

  1. 写认证（认证 和 授权 没有直接关系，只不过认证的时候 可以 携带授权角色）
 // 认证
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())
                .withUser("mqy").password(new BCryptPasswordEncoder().encode("123")).roles("vip2")
                .and()
                .withUser("root").password(new BCryptPasswordEncoder().encode("123")).roles("vip1","vip2","vip3")
                .and().withUser("guest").password(new BCryptPasswordEncoder().encode("123")).roles("vip1");
    }

passwordEncoder(new BCryptPasswordEncoder()) 是必须得写的，现在的 SpringSecurity 做认证的话，密码 都需要进行 编码，否则 就会 报 500 错误！！

  1. 写一个 注销的功能

SpringSecurity 的 注销功能，默认 接收的 请求 是 \logout

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

我们还可以 写 比较 完整的 logout()，详细请看它的源码

// 注销开启。
http.logout().deleteCookies("remove").invalidateHttpSession(true).logoutSuccessUrl("/");

这样的话，我们 登出成功后，就可以 跳到 首页了。

  1. 权限控制 页面的渲染

导入 thymeleaf 和 SpringSecurity 的整合包 依赖

        <dependency>
            <groupId>org.thymeleaf.extras</groupId>
            <artifactId>thymeleaf-extras-springsecurity5</artifactId>
        </dependency>

再给 相关的页面 导入 sec 命名空间的支持

sec:authorize="hasRole('vip1')"：判断 是否 有 这个角色授权，如果有 则 标签正常渲染。

sec:authorize="isAuthenticated()"： 判断是否 安全登录过。

<html lang="en" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5">

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">
    <title>首页</title>
    <!--semantic-ui-->
    <link href="https://cdn.bootcss.com/semantic-ui/2.4.1/semantic.min.css" rel="stylesheet">
    <link th:href="@{/qinjiang/css/qinstyle.css}" rel="stylesheet">
</head>
<body>

<!--主容器-->
<div class="ui container">

    <div class="ui segment" id="index-header-nav" th:fragment="nav-menu">
        <div class="ui secondary menu">
            <a class="item"  th:href="@{/index}">首页</a>

            <!--登录注销-->
            <div class="right menu">
                <!--未登录-->
                <div sec:authorize="!isAuthenticated()">
                    <a class="item" th:href="@{/toLogin}">
                        <i class="address card icon"></i> 登录
                    </a>
                </div>
                <div sec:authorize="isAuthenticated()">
                    <a class="item">
                        用户名：<span sec:authentication="name"></span>
                    </a>
                </div>
                <div sec:authorize="isAuthenticated()">

                    <a class="item" th:href="@{/logout}">
                        <i class="sign-out icon"></i> 注销
                    </a>
                </div>
            </div>
        </div>
    </div>

    <div class="ui segment" style="text-align: center">
        <h3>Spring Security Study by </h3>
    </div>

    <div>
        <br>
        <div class="ui three column stackable grid">
            <div class="column" sec:authorize="hasRole('vip1')">
                <div class="ui raised segment">
                    <div class="ui">
                        <div class="content">
                            <h5 class="content">Level 1</h5>
                            <hr>
                            <div><a th:href="@{/level1/1}"><i class="bullhorn icon"></i> Level-1-1</a></div>
                            <div><a th:href="@{/level1/2}"><i class="bullhorn icon"></i> Level-1-2</a></div>
                            <div><a th:href="@{/level1/3}"><i class="bullhorn icon"></i> Level-1-3</a></div>
                        </div>
                    </div>
                </div>
            </div>

            <div class="column" sec:authorize="hasRole('vip2')">
                <div class="ui raised segment">
                    <div class="ui">
                        <div class="content">
                            <h5 class="content">Level 2</h5>
                            <hr>
                            <div><a th:href="@{/level2/1}"><i class="bullhorn icon"></i> Level-2-1</a></div>
                            <div><a th:href="@{/level2/2}"><i class="bullhorn icon"></i> Level-2-2</a></div>
                            <div><a th:href="@{/level2/3}"><i class="bullhorn icon"></i> Level-2-3</a></div>
                        </div>
                    </div>
                </div>
            </div>

            <div class="column" sec:authorize="hasRole('vip3')">
                <div class="ui raised segment">
                    <div class="ui">
                        <div class="content">
                            <h5 class="content">Level 3</h5>
                            <hr>
                            <div><a th:href="@{/level3/1}"><i class="bullhorn icon"></i> Level-3-1</a></div>
                            <div><a th:href="@{/level3/2}"><i class="bullhorn icon"></i> Level-3-2</a></div>
                            <div><a th:href="@{/level3/3}"><i class="bullhorn icon"></i> Level-3-3</a></div>
                        </div>
                    </div>
                </div>
            </div>

        </div>
    </div>
    
</div>


<script th:src="@{/qinjiang/js/jquery-3.1.1.min.js}"></script>
<script th:src="@{/qinjiang/js/semantic.min.js}"></script>

</body>
</html>

在这里插入图片描述

  1. 记住我功能 和 定制登录页

http.csrf().disable();//关闭csrf防御,有时候可能为了测试需要关闭它。
http.rememberMe() 开启 记住我功能 本质上 就是 保存了一个 cookie，默认是 保存两周。

在这里插入图片描述
等你下次 再进入 网站的时候，默认 就 能 干掉很多 认证了。因为 我们 保存了 cookie 呀，就跟之前 自己 写 登录和认证一样。

定制 登录页面 如下：

http.formLogin().loginPage("/toLogin").loginProcessingUrl("/login");

并且 我们 登录提交 走的 请求 必须是 loginProcessingUrl 提供的 url /toLogin、用户名输入框和密码输入框的name必须分别是 username 和 password 其实 不写 loginProcessingUrl 的话，默认 提供的 登录功能的 url 就跟 loginPage 提供的一致。

在这里插入图片描述

当然 这两个 用户名 可以不是 默认 的 username、password，是可以 自定义更改的。

在这里插入图片描述

http.formLogin().loginPage("/toLogin").loginProcessingUrl("/login").usernameParameter("user").passwordParameter("pwd");

**把 记住我 绑定到 我们定制的 login 页面上 先设定一下 页面上 哪个 checkbox 是我们 要绑定的。

// 开启 记住我
http.rememberMe().rememberMeParameter("remember");

比如我们设定了 remember，那么就直接在 你的页面上 加一个 name = remember 的 checkbox 即可。 默认是 remember-me，也就是说 如果我们 不给定一个 Parameter 的话，你写一个 name = remember-me 的 checkbox 也能绑定成功。

在这里插入图片描述
在这里插入图片描述

15.2 小结

一般情况下，WEB 安全 就 做 三项：授权 认证 权限控制

授权：就是 给予 一些 网页授权信息。只有携带这些授权信息的才能访问。

认证：就类似于 拦截器跳转登录页面，你如果没有携带相关授权信息，我们就会先让你做 授权认证，认证完事后，才能 有授权信息。但是有些时候其实你认证完了，也没准不给你携带授权信息。

权限控制：携带不同授权信息的角色，看到的页面 是不一样的。这就是权限控制页面渲染的效果。拥有的功能项也是不同的。

牟泉禹[Dark Cat]
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
spring security依赖
yanshendeyinji的博客
10-19 6304
一依赖 1非springboot项目 （1）spring-security-core包含了认证和权限控制的功能，支持非web应用，以及方法安全及JDBC等，所以一般需要使用spring security框架，该依赖是必须的 （2）spring-security-web提供web支持，包含了一些Filters，Servlet环境下url控制等基础 （3）spring-security-config包含了丰富的Spring Security XML和注解，可以通过添加该依赖使用他们，其他支持 LDAP, ACL
全新问世，阿里内藏版的SpringBoot 2.5实战笔记，全面覆盖新特性
fk_99的博客
01-14 4305
学习一门技术最好的方式就是理论 + 实践，学习网理论基础，直接上 Demo ，跑通 Demo ，在探究原理。 今天给大家带来的这份阿里架构师亲笔的 SpringBoot 2.5 实战笔记；笔记全面覆盖了 Spring Boot 2.5 新特性、自动化配置原理、如何开发 REST API、 实战 MySQL 数据库、Redis 高并发缓存、MongoDB 数据库、MQ 消息队列、安全机制、 性能监控、高级面试题等热门知识点。 Spring Boot2.5实战大纲与新特性介绍 SpringBoot2.x实
springboot2.5.15解决java.lang.IllegalStateException: Could not initialize plugin: interface org.mockit
最新发布
Welcome KrityCat Honey
04-17 272
java.lang.IllegalStateException: Could not initialize plugin: interface org.mockito.plugins.MockMaker (alternate: null)
springBoot 和 spring security 版本对应关系
热门推荐
快乐的小三菊的博客
11-23 1万+
springBoot 和 spring security 版本对应关系
Spring集成SpringSecurity依赖包
05-29
Spring集成SpringSecurity依赖包.也有springMVC的依赖包，直接下载引入就可用
SpringSecurity
weixin_43732943的博客
05-19 423
3、访问任意controller会跳转到login页面，使用如上密码登录，就可以访问controller资源。在控制台中出现默认密码，这就是我们没有实现自定义密码，SpringSecurity帮我们自动生成的密码。5、出现下面的页面说明我们已经登录成功了（因为我没有写任何东西，所以页面会出现404异常）。1、在SpringBoot项目中的pom.xml文件中添加SpringSecurity依赖。4、如果直接访问login页面，输入用户名密码之后会显示404。2、启动SpringBoot项目中的启动类。
springboot+ spring security实现登录认证
05-04
SpringBoot结合Spring Security实现登录认证是企业级应用开发中常见的安全框架组合，它们为Web应用程序提供了强大的安全性。本文将深入探讨这两个技术的核心概念、配置以及如何整合以实现用户登录认证功能。 ...
SpringBoot + SpringSecurity 短信验证码登录功能实现
08-27
SpringBoot + SpringSecurity 短信验证码登录功能实现 本文主要介绍了 SpringBoot + SpringSecurity 短信验证码登录功能实现的详细过程，该功能可以使用户通过手机短信验证码登录系统，而不是传统的用户名密码登录...
详解SpringBoot+SpringSecurity+jwt整合及初体验
08-25
SpringBoot+SpringSecurity+jwt整合详解 SpringBoot是当前最流行的Java框架之一，它提供了便捷的方式来构建基于Web的应用程序。然而，在构建Web应用程序时，安全性是不可忽视的重要方面。因此，本文将详细介绍如何...
SpringBoot+SpringSecurity+JWT+MybatisPlus实现基于注解的权限验证
08-26
SpringBoot+SpringSecurity+JWT+MybatisPlus实现基于注解的权限验证，可根据注解的格式不同，做到角色权限控制，角色加资源权限控制等，粒度比较细化。 @PreAuthorize("hasAnyRole('ADMIN','USER')")：具有admin或...
SpringBoot结合SpringSecurity实现图形验证码功能
08-27
"Spring Boot 结合 Spring Security 实现图形验证码功能" 本文主要介绍了如何使用 Spring Boot 结合 Spring Security 实现图形验证码功能。图形验证码是一种常用的防止机器人攻击的方法，它可以防止机器人对网站的...
springsecurity基本的三个jar包
06-26
springsecurity的三个基本jar包，很有用的哦！
Spring Security 入门 - 01 引入 Spring security 依赖
nimo10050的博客
02-01 9654
Spring security 系列博客目录 Spring Security 01- 将 Spring security 引入到工程 Spring security 02-自定义用户登录页面和登录处理逻辑 Spring security 03-自定义登录成功后的处理逻辑 Spring security 04-整合 jwt 对应源代码 Spring Security 01- 将 Spring ...
【IDEA Sprintboot】简单入门：整合SpringSecurity依赖、整合Thymeleaf框架
水w的博客
05-04 1273
整合SpringSecurity依赖、整合Thymeleaf框架
Spring Security的使用教程
crg18438610577的博客
03-14 1184
Spring Security是一个强大的身份验证和授权框架，它使得在应用程序中实现安全性成为了一个容易的任务
SpringSecurity概述
weixin_58078203的博客
07-31 465
Spring微服务框架系列编写--SpringSecurity安全框架
JavaEE——SpringBoot项目常见的依赖包及其作用
qq_46304554的博客
10-21 2082
大家可以根据需求来导入自己想要的（一般中途想重新加入一个依赖包可以再pom.xml里面 dependencies里面插入，并注意刷新！热部署是对修改的类和配置文件进行重新加载，所以在重新加载的过程中会看到项目启动的过程，其本质上只是对修改类和配置文件的重新加载，所以速度极快。@ToString : 作用于类，覆盖默认的toString()方法 ,可以通过of属性限定显示某些字段，通过exclude属性排除某些字段。比如说getter/setter/toString等方法的编写。toString 方法。
SpringBoot与SpringCloud的版本对应详细版
weixin_42324471的博客
01-08 3933
我们在搭建微服务项目的时候会，经常要关注SpringBoot和Springcloud的版本对应关系，这里有官网版本对应地址共大家参考 https://start.spring.io/actuator/info { "git": { "branch": "af724b5c27a7317a2f111739cf810d9cb526c1e0", "commit": { "id": "af724b5", "time": "2022-01-07T09:27:13Z" } }, "build
springboot集成测试JUnit
MXqihang的博客
01-11 416
在spring-boot-starter-test 2.5.5版本之前 测试方法是在测试类上面 添加@RunWith注解 @RunWith(SpringJUnit4ClassRunner.class) @ContextConfigurantion(classes=AddressBookConfiguration.class) public class Test(){ @Test ...... } 在spring-boot-starter-test 2.5.5版本之后舍弃掉
Springboot+SpringSecurity+Mybatis
05-27
Spring Boot是一个用于快速构建企业级应用的Java框架，它提供了各种功能强大的特性，例如自动配置、快速启动、监控等。Spring Security是一个基于Spring框架的安全框架，它提供了身份验证、授权、攻击防护等安全功能。MyBatis是一个Java持久化框架，它通过XML或注解方式将Java对象映射到数据库表中。 SpringBoot + SpringSecurity + MyBatis可以用于构建安全可靠的企业级应用程序。其中，SpringBoot提供了快速启动和自动配置的特性，简化了应用程序的开发和部署。SpringSecurity提供了各种安全功能，例如身份验证、授权、攻击防护等。MyBatis提供了Java与数据库之间的映射功能，使得开发者可以很方便地操作数据库。 在使用SpringBoot + SpringSecurity + MyBatis时，一般可以采用前后端分离的方式，前端使用Vue或React等框架，后端使用SpringBoot + SpringSecurity + MyBatis进行开发。前端向后端发送请求时，后端使用SpringSecurity进行身份验证和授权，然后使用MyBatis操作数据库进行数据查询和更新，最终将结果返回给前端。 当然，具体的实现方式还需要根据具体的业务需求和技术栈进行选择。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值