【个人版】SpringBoot下Spring-Security自定义落地篇【三】

最新推荐文章于 2024-07-03 18:24:21 发布
最新推荐文章于 2024-07-03 18:24:21 发布
阅读量1.2k 收藏 21
点赞数 28
分类专栏： spring-security 文章标签： spring boot spring-security
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/src1025/article/details/134955157
版权

背景： 前两篇文章将spring-security的设计架构、核心类、配置及构建过程基本过了一遍，其实很偏理论，如果对源码不感兴趣或项目使用不深，基本可以忽略，毕竟完全理解可能也不会用到，时间长也忘掉了。但是如果你想对代码进行微调，或者写出自己想要的设计效果，那么读一读还是很有必要，毕竟开发过程就是一个学习的过程。本篇是在参考遍地继承WebSecurityConfigurerAdapter的方案上，再加上自身阅读源码后的理解，结合自身需求而尝试出来的。

Spring-Security全局导读：
1、Security核心类设计
2、HttpSecurity结构和执行流程解读
3、Spring-Security个人落地篇

ps1：WebSecurityConfigurerAdapter在较新的版本中都已经被标注过期了，这也是我读源码时尝试自己尝试新方案的动机之一
ps2： 落地方案其实和最新官方推荐的方案很接近，因为我也是从自动配置类中的SecurityFilterChain的创建过程而猜想过来的
ps3：强烈建议阅读松哥之前写的security系列文章，看看这一篇就知道他的水平了
ps4：如果有时间&有想法，自己写一些试试，很久以前粗略看过松哥Security系列的一部分文章，当时觉得自己懂了，不知过了多久，已经完全忘记基础概念了。

废话过多，以下为个人输出（简略篇）：
一、POM依赖：

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
	<modelVersion>4.0.0</modelVersion>
	<parent>
		<groupId>org.springframework.boot</groupId>
		<artifactId>spring-boot-starter-parent</artifactId>
		<version>2.7.14</version>
		<relativePath/> 
	</parent>
	<groupId></groupId>
	<artifactId></artifactId>
	<version></version>
	<name></name>
	<description></description>
	<properties>
		<java.version></java.version>
	</properties>
	<dependencies>
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-security</artifactId>
		</dependency>
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-web</artifactId>
		</dependency>
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-validation</artifactId>
		</dependency>
		<dependency>
			<groupId>org.projectlombok</groupId>
			<artifactId>lombok</artifactId>
			<scope>compile</scope>
		</dependency>
	</dependencies>
	<build>
		<plugins>
			<plugin>
				<groupId>org.springframework.boot</groupId>
				<artifactId>spring-boot-maven-plugin</artifactId>
			</plugin>
		</plugins>
	</build>
</project>

二、自定义拦截及授权封装类

/**
 * 1、CustomAuthenticationProvider等其它内部类不能设置为静态类
 * 2、CustomUsernamePasswordAuthenticationFilter必须重写afterPropertiesSet方法并忽略管理器校验
 */
@Component
@ConditionalOnProperty(value = "password.enable", havingValue = "true", matchIfMissing = true)
public class CustomAuthenticationContext {

    @Component
    private class CustomAuthenticationProvider implements AuthenticationProvider {
        @Override
        public Authentication authenticate(Authentication authentication) throws AuthenticationException {
            UsernamePasswordAuthenticationToken token = (UsernamePasswordAuthenticationToken) authentication;
            if ("test".equals(token.getPrincipal().toString()) && "test".equals(token.getCredentials().toString())) {
                return UsernamePasswordAuthenticationToken.authenticated("test", null, null);
            }
            throw new BadCredentialsException("账号信息错误");
        }

        @Override
        public boolean supports(Class<?> authentication) {
            return UsernamePasswordAuthenticationToken.class.isAssignableFrom(authentication);
        }
    }

    @Component
    private class CustomUsernamePasswordAuthenticationFilter extends AbstractAuthenticationProcessingFilter {
        private final Validator validator = Validation.buildDefaultValidatorFactory().getValidator();

        private ObjectMapper objectMapper;

        public CustomUsernamePasswordAuthenticationFilter() {
            super(new AntPathRequestMatcher("/user/login", "POST"));
        }

        @Override
        public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException, IOException, ServletException {
            InputStream content = request.getInputStream();
            User user = objectMapper.readValue(content, User.class);
            Set<ConstraintViolation<User>> validate = validator.validate(user, Default.class);
            if (validate.isEmpty()) {
                UsernamePasswordAuthenticationToken authRequest = UsernamePasswordAuthenticationToken.unauthenticated(user.getName(), user.getPassword());
                authRequest.setDetails(this.authenticationDetailsSource.buildDetails(request));
                return this.getAuthenticationManager().authenticate(authRequest);
            }
            throw new BadCredentialsException("用户名或密码错误");
        }

        @Autowired
        void init(CustomAuthResult authResult, ObjectMapper objectMapper) {
            this.objectMapper = objectMapper;
            setAuthenticationSuccessHandler(authResult);
            setAuthenticationFailureHandler(authResult);
        }

        @Override
        // 后期统一设置，未重写则实例创建后校验报错
        public void afterPropertiesSet() {
        }
    }
       
    @Data
    private static class User {
    	@NotBlank
        private String name;

        @NotBlank
        private String password;
   }	
	
}

说明：
1、自定义鉴权中，Filter及AuthenticationProvider通常是一对一的，此处封装为一个类，并用条件注解修饰，避免多场景下的鉴权组合造成的代码混乱（虽然此类场景通常不会有太大的变更）
2、此块逻辑其实可以放到controller中，但注意授权上下文的控制及HttpSecurity的设置

三、Security框架配置入口类

@Configuration
public class SecurityFilterChainConfiguration {
    @Autowired
    // HttpSecurity默认是多例的，此处如果多个方法调用，必须唯一
    private HttpSecurity httpSecurity;

    // 参数列表可通过自定义类上条件注解控制
    // 单个类中同时存在多个@Autowired，执行顺序不固定
    // 这两个类是一体的，可以封装在一起，不用搞得太零散
    @Autowired
    void authenticationManager(List<AuthenticationProvider> customProviders, List<AbstractAuthenticationProcessingFilter> customProcessingFilter) {
        // 自封装授权管理器，没有使用系统AuthenticationManagerBuilder创建的管理器
        AuthenticationManager authenticationManager = new ProviderManager(customProviders);
        for (AbstractAuthenticationProcessingFilter filter : customProcessingFilter) {
            filter.setAuthenticationManager(authenticationManager);
            // UsernamePasswordAuthenticationFilter.class为系统内置Filter
            httpSecurity.addFilterBefore(filter, UsernamePasswordAuthenticationFilter.class);
        }
    }

    @Bean
    SecurityFilterChain securityFilterChain(CustomAuthResult authResult) throws Exception {
        /*
         * 此块HttpSecurity链式配置包含三块内容
         * 1、csrf会在response中添加token header，以避免非原始请求客户端伪造访问
         * 2、关闭默认的表单登录，所有鉴权逻辑自定义
         * 3、针对logout、异常等场景细节进行配置
         */
        httpSecurity.csrf().disable()
        		// 如果自定义授权了，表单登录可以关闭，通常用于前后台分离项目
                .formLogin().disable()
                .authorizeRequests().antMatchers(HttpMethod.OPTIONS).permitAll()
                // 这块是为在controller中做授权校验而放开的，此场景后续补充
                .antMatchers(HttpMethod.POST, "/doLogin").permitAll()
                .anyRequest().authenticated()
                .and().logout().logoutSuccessHandler(authResult).permitAll()
                // 设置访问未授权资源的处理器
                .and().exceptionHandling().authenticationEntryPoint(authResult);
        // 手工build，没有借助WebSecurity类的管理
        return httpSecurity.build();
    }
}

四、响应封装合体类

@Component
public class CustomAuthResult implements AuthenticationFailureHandler, AuthenticationSuccessHandler, AuthenticationEntryPoint, LogoutSuccessHandler {
    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
        response.setContentType("application/json;charset=utf-8");
        response.setStatus(HttpStatus.UNAUTHORIZED.value());
        response.getWriter().write("{\"code\":\"1004\",\"msg\":\"用户名或密码错误\"}");
        response.getWriter().flush();
        response.getWriter().close();
    }

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        response.setContentType("application/json;charset=utf-8");
        response.getWriter().write("{\"code\":\"1000\",\"msg\":\"登录成功\"}");
        response.getWriter().flush();
        response.getWriter().close();
    }

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
        response.setContentType("application/json;charset=utf-8");
        response.setStatus(HttpStatus.FORBIDDEN.value());
        response.getWriter().write("{\"code\":\"1001\",\"msg\":\"用户未登录\"}");
        response.getWriter().flush();
        response.getWriter().close();
    }

    @Override
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        response.setContentType("application/json;charset=utf-8");
        response.getWriter().write("{\"code\":\"1003\",\"msg\":\"成功退出\"}");
        response.getWriter().flush();
        response.getWriter().close();
    }
}

说明：此类自己调试随便建的，生产项目需要有严格而准确的封装和处理

简单自定义使用，以上就足够了，相关注意事项也在注释中说明，不管是继承WebSecurityConfigurerAdapter的方式，还是其他方式，核心类的执行流程其实是不变的，变的只是配置方式或组合方式的外皮，所以把基础概念了解清楚了，不管是spring5还是spring6的版本变化，基本不会有太大的挑战。

PS：
1、关于用户权限数据管理逻辑，框架层提供了UserDetailsService接口及对应内存&数据库的默认实现，这个需求差异较大，如验证码登录，此处不再展开，直接在验证逻辑处写死配置。
2、在新版本中（参考依赖），不管是继承WebSecurityConfigurerAdapter的方式，还是哪种方式，都不需要再自行使用@EnableWebSecurity注解在类上进行标注了，自动配置类中已告知。

附Adapter模式简化配置版：

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    // 代码参考上述方案定义
    private CustomAuthResult authResult;

    @Autowired
    // AuthenticationManager配置类，复用全局AuthenticationManager
    private AuthenticationConfiguration configuration;

    @Override
    // 适配器模式只需要重写此方法，完成内部过滤器链配置
    protected void configure(HttpSecurity http) throws Exception {
    	// 自定义安全管理过滤器，对应鉴权和参数封装逻辑此处忽略
        http.addFilterBefore(adaptUsernamePasswordAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
        http.csrf().disable()
                .formLogin().disable()
                .authorizeRequests().antMatchers(HttpMethod.OPTIONS).permitAll()
                .anyRequest().authenticated().and().logout().logoutSuccessHandler(authResult).permitAll()
                .and().exceptionHandling().authenticationEntryPoint(authResult);
    }

    @Bean
    // 自定义Filter内部有其他Autowired注解需要处理，所以需要发布到容器
    // 如果手工set，可以考虑不发布到spring容器中，限制其作用域范围
    AdaptUsernamePasswordAuthenticationFilter adaptUsernamePasswordAuthenticationFilter() throws Exception {
        AuthenticationManager authenticationManager = configuration.getAuthenticationManager();
        AdaptUsernamePasswordAuthenticationFilter adaptUsernamePasswordAuthenticationFilter = new AdaptUsernamePasswordAuthenticationFilter("/user/login");
        adaptUsernamePasswordAuthenticationFilter.setAuthenticationManager(authenticationManager);
        return adaptUsernamePasswordAuthenticationFilter;
    }

    @Bean
    // 自定义授权管理器，代码和上述方案定义类一致，但上述是内部类，包路径不一致
    public AuthenticationProvider authenticationProvider() {
        return new CustomAuthenticationProvider();
    }
}

可以看到继承WebSecurity适配器的代码同样也很简单，核心还是HttpSecurity的构建，不过第一种方案灵活性更高，我们自己组织和封装的可能性更好，体现模块化的思想，适配方式已经标注过期，最新版本已经删除，可作参考。

苏南(src)
关注
  • 28
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Springboot集成spring-security实现基于验证码的登录认证项目源码+项目说明.7z
12-18
Springboot集成spring-security实现基于验证码的登录认证项目源码+项目说明.7z springboot集成spring-security实现基于验证码的登录认证。 在spring-boot-security的基础上实现角色管理。 spring-boot-security-jwt...
SpringBoot2.3集成Spring Security(一)
我是你妹她哥的博客
06-14 1291
附上一段官网的解释：翻译：Spring Security 是一个功能强大且高度可定制的身份验证和访问控制框架。它是保护基于 Spring 的应用程序的事实标准Spring Security 是一个专注于为 Java 应用程序提供身份验证和授权的框架。像所有 Spring 项目一样，Spring Security 的真正强大之处在于它可以轻松扩展以满足自定义需求自定义一个类实现/*** 自定义认证方式。
Spring Boot 中的 Spring Security 是什么，如何使用
程序员徐师兄的博客
07-06 1357
如果默认的认证和授权方式无法满足我们的需求，我们可以自定义认证和授权。例如，我们可以创建一个实现了} }} }} }} }} }} }在上面的服务类中，我们使用来查询用户信息，并将用户信息转换为对象返回。在返回对象时，我们可以使用方法将用户角色转换为授权列表。类似地，我们也可以创建一个实现了return;return;> clazz) {} }在上面的服务类中，我们使用接口的decide方法来判断用户是否有访问资源的权限。
SpringBoot 整合 SpringSecurity
最新发布
一个95后开发者，热爱编程，喜欢玩游戏. 希望可以结识更多的小伙伴...
07-03 892
[SpringBoot]Spring Security框架
YJH000_的博客
06-11 9191
在使用Spring Security框架时，可以自定义组件类，实现接口，则Spring Security就会基于此类的对象来处理认证！则在项目的根包下创建，在类上添加@Service注解使其成为组件类，实现@Slf4j@Service@Override（通过loadUserByUsername(String s)这个方法的名字可以理解为通过用户名加载用户，参数s就是username用户名，返回UserDetails用户详情）在项目中存在。
7-Spring Boot的安全管理
daqi1983的博客
04-14 4468
spring boot 认证和授权
【个人版】SpringBoot下Spring-Security核心概念解读【一】
src1025的博客
12-13 1437
Spring-Security核心设计个人解读
springboot-security-oauth2:SpringBoot集成Spring Security、OAuth2实现authorization code授权码模式
05-10
springboot-security-oauth2此SpringBoot项目集成Spring Security、OAuth2实现资源访问授权认证。支持client credentials、password、authorization code认证模式。项目默认最为复杂的authorization code授权码认证...
springboot-06-security.zip
11-30
在本项目"springboot-06-security.zip"中，我们主要探讨了如何在SpringBoot应用中集成并使用SpringSecurity进行安全控制。SpringSecurity是Java领域一个强大的安全管理框架，它提供了全面的安全服务，包括用户认证、...
springboot-javafx-support:SpringBoot JavaFX8 集成
08-04
springboot-javafx-support 注意：当前 master 是针对 Spring Boot 2 和 Spring Framework 5。 最新的生产就绪版本： 对于 Spring Boot 1.5.x 是 1.4.5。 （生命尽头！） 对于 Spring Boot 2.x 是 2.1.6。 ...
SpringBoot整合SpringSecurity
qq_44749491的博客
06-28 8935
SpringSecurity整合基础
Spring Boot之SpringSecurity学习
缘友一世的博客
01-27 2182
Spring 是一个非常流行和成功的 Java 应用开发框架。Spring Security 基于 Spring 框架，提供了一套Web 应用安全性的完整解决方案。一般来说，Web 应用的安全性包括用户认证（Authentication）和用户授权（Authorization）两个部分。Spring Security 是针对Spring项目的安全框架，也是Spring Boot底层安全模块默认的技术选型，可以实现强大的Web安全控制，对于安全控制，仅需要引入 spring-boot-starter-secu
SpringBoot集成 SpringSecurity安全框架
qq15035899256的博客
03-19 1951
本文是对SpringSecurity的学习，学习了它的两大功能：认证和授权，以及如何使用数据库进行认证，如何使用自定义的登录页面，最后也学习了使用SecurityContext获取认证用户的信息。之后的学习内容将持续更新！！！
Spring Boot整合Spring Security--学习笔记
tigerhhzz的博客
05-08 416
Spring Boot：整合Spring Security（待续中....）
SpringBoot security 安全认证（二）——登录拦截器
朗朗的博客
02-01 1743
本节内容：实现登录拦截器，除了登录接口之外所有接口访问都要携带Token，并且对Token合法性进行验证，实现登录状态的保持。核心内容：1、要实现登录拦截器，从Request请求中获取token，从缓存中获取Token并验证登录是否过期，若验证通过则放行；2、实现对拦截器配置，SpringBoot 安全模块使用HttpSecurity 来完成请求安全管理。
SpringBoot - 安全管理框架Spring Security使用详解(9)-密码加密配置
Andy's Blog
06-06 873
在之前的文章中密码都是使用明文的方式进行存储，但这样会有很大的安全隐患。所以正常做系统时，密码都要加密处理。而在Spring Boot中配置密码加密非常容易，下面通过样例进行演示。 九、密码加密配置 1，样例代码 （1）要配置密码加密只需要修改两个地方。首先要修改HttpSecurity配置中的PasswordEncoder这个Bean的实现，这里我们采用BCryptPasswordEncoder加密方案。 Spring Security提供了多种密码加密方案，官方推荐使用...
SpringBoot之SpringSecurity（安全）
热门推荐
爱学习的大雄的博客
03-16 1万+
SpringSecurity（安全） Spring Security是针对Spring项目的安全框架，也是Spring Boot底层安全模块默认的技术选型，他可以实现强大的Web安全控制，对于安全控制，我们仅需要引入spring-boot-starter-security模块，进行少量的配置，即可实现强大的安全管理! 记住几个类： WebSecurityConfigurerAdapter：自定义Security策略 AuthenticationManagerBuilder：自定义认证策略 @Enabl
springBoot整合springSecurity(认证)
qingqingyyds的博客
10-14 2119
Spring Security是 Spring 家族中的一个安全管理框架。相比与另外一个安全框架Shiro，它提供了更丰富的功能，社区资源也比Shiro丰富；Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。它是用于保护基于Spring的应用程序的实际标准；Spring Security是一个框架，致力于为Java应用程序提供身份验证和授权。与所有Spring项目一样，Spring Security的真正强大之处在于可以轻松扩展以满足自定义要求。
SpringbootSecurity简单通俗易懂
weixin_50098749的博客
07-18 438
springbootsecurity简单通俗易懂
SpringBoot整合SpringSecurity element 自定义登录页面如何写
08-16
要在SpringBoot中整合SpringSecurity实现自定义登录页面，你可以按照以下步骤进行操作: 1. 首先，确保你的项目中已经引入了Spring Security和OAuth2的相关依赖，可以使用Maven或Gradle进行添加。<span class="em">1...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值