SpringBoot——web开发之登录拦截器

1、表单：

<form class="form-signin" th:action="@{/user/login}" method="post" action="dashboard.html">
	<img class="mb-4" th:src="@{/asserts/img/bootstrap-solid.svg}" src="asserts/img/bootstrap-solid.svg" alt="" width="72" height="72">
	<h1 class="h3 mb-3 font-weight-normal" th:text="#{login.tip}">Please sign in</h1>
	<p style="color:red" th:text="${msg}" th:if="${not #strings.isEmpty(msg)}"></p>
	<label class="sr-only" th:text="#{login.username}">Username</label>
	<input type="text" name="username" class="form-control" th:placeholder="#{login.username}" placeholder="Username" required="" autofocus="">
	<label class="sr-only" th:text="#{login.password}">Password</label>
	<input type="password" name="password"class="form-control" th:placeholder="#{login.password}" placeholder="Password" required="">
	<div class="checkbox mb-3">
		<label>
			<input type="checkbox" value="remember-me" /> [[#{login.remember}]]
		</label>
	</div>
	<button class="btn btn-lg btn-primary btn-block" type="submit" th:text="#{login.btn}">Sign in</button>
	<p class="mt-5 mb-3 text-muted">© 2017-2018</p>
	<a class="btn btn-sm" th:href="@{/index.html(lang='zh_CN')}">中文</a>
	<a class="btn btn-sm" th:href="@{/index.html(lang='en_US')}">English</a>
</form>

①使用@{}书写路径相关的值，使用${}获取后台传过来的变量，使用#{}获取国际化变量值

②<p style="color:red" th:text="${msg}" th:if="${not #strings.isEmpty(msg)}"></p>，这段代码中使用了th:if，该属性表示其内的条件成立则整个<p>标签才会被浏览器渲染，否则页面元素中不会有<p>，也就不会存在${msg}，这是由thymeleaf表达式的优先级决定的

注：在开发的时候，有时候改动了页面，但是却没有生效，此时可以禁用缓存

spring.thymeleaf.cache=false

同时保存页面时按ctrl+F9，让页面重新编译，就不必重启项目了

2、Controller方法：

@Controller
public class UserController {

    @PostMapping("/user/login")
    public String login(String username, String password,Map<String,Object> map) {
        if (!StringUtils.isEmpty(username) && "123".equals(password))
            return "dashboard";
        else {
            map.put("msg","用户名或密码错误!");
            return "login";
        }
    }
}

但此时，在刷新页面的时候可能会导致表单的重复提交：

防止表单重复提交最好的方式就是请求的重定向：

@Controller
public class UserController {

    @PostMapping("/user/login")
    public String login(String username, String password,Map<String,Object> map) {
        if (!StringUtils.isEmpty(username) && "123".equals(password))
            return "redirect:/main.html";
        else {
            map.put("msg","用户名或密码错误!");
            return "login";
        }
    }
}

在自定义的WebMvcConfigurerAdapter中为"/main.html"添加视图：

@Bean
public WebMvcConfigurerAdapter webMvcConfigurerAdapter(){
	//因为WebMvcConfigurerAdapter是抽象类，需要在方法体中实现其抽象方法，虽然该类没有抽象方法，但方法体不可省
	WebMvcConfigurerAdapter adapter = new WebMvcConfigurerAdapter(){
		@Override
		public void addViewControllers(ViewControllerRegistry registry) {
			registry.addViewController("/").setViewName("login");
			registry.addViewController("/index.html").setViewName("login");
			//"/user/login"重定向至"/main.html"
			registry.addViewController("/main.html").setViewName("dashboard");
		}
	};
	return adapter;
}

这样可以防止表单的重复提交，但是会暴露资源的请求地址，导致用户直接访问：http://localhost:8080/main.html即可进入本应该登录后才能访问的页面，这就失去了登录的意义

应该使用一个拦截器，在访问所有登录前不能访问的资源时进行拦截校验，判断登录后方可访问，此时需要在登录成功后在session中放一个标识，然后在拦截器中获取该标识，用以判断是否登录成功：

对Controller的修改：

@Controller
public class UserController {

    @PostMapping("/user/login")
    public String login(String username, String password,Map<String,Object> map,HttpSession session) {
        if (!StringUtils.isEmpty(username) && "123".equals(password)) {
            session.setAttribute("loginUser", username);
            return "redirect:/main.html";
        }else {
            map.put("msg","用户名或密码错误!");
            return "login";
        }
    }
}

自定义拦截器——实现HandlerInterceptor接口：无权限时转发值登录页

public class LoginHandlerInterceptor implements HandlerInterceptor {
    @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        Object loginName = request.getSession().getAttribute("loginUser");
        if (loginName == null) {
            request.setAttribute("msg", "没有访问权限,请先登录!");
            //转发至登录页面
            request.getRequestDispatcher("/index.html").forward(request, response);
            return false;
        } else
            return true;
    }
}

在自定义的WebMvcConfigurerAdapter中添加自定义的拦截器：

@Bean
public WebMvcConfigurerAdapter webMvcConfigurerAdapter() {
	//因为WebMvcConfigurerAdapter是抽象类，需要在方法体中实现其抽象方法，虽然该类没有抽象方法，但方法体不可省
	WebMvcConfigurerAdapter adapter = new WebMvcConfigurerAdapter() {
		@Override
		public void addViewControllers(ViewControllerRegistry registry) {
			registry.addViewController("/").setViewName("login");
			registry.addViewController("/index.html").setViewName("login");

			registry.addViewController("/main.html").setViewName("dashboard");
		}

		//添加自定义拦截器
		@Override
		public void addInterceptors(InterceptorRegistry registry) {
			registry.addInterceptor(new LoginHandlerInterceptor()).addPathPatterns("/**").excludePathPatterns("/index.html", "/", "/user/login");
		}
	};
	return adapter;
}

①此处的"/**"表示该拦截器拦截所有层级的所有请求但除了"/index.html", "/", "/user/login"，否则无法登录，拦截器拦截的请求是可以在此处灵活配置的

②SpringBoot中不需要管静态资源的访问拦截，SpringBoot已做好静态资源的映射，不必再处理静态资源访问的放行