SpringSecurity的基本原理

最新推荐文章于 2024-09-27 14:04:34 发布
最新推荐文章于 2024-09-27 14:04:34 发布
阅读量249 收藏
点赞数
原文链接：https://my.oschina.net/u/3474937/blog/3024518
版权

2019独角兽企业重金招聘Python工程师标准>>> hot3.png

SpringSecurity的基本原理

SpringSecurity框架作为一款安全框架，可以拦截我们的请求，默认情况下使用的是basic认证的方式，如图一那样。但是，这种方式很不友好，每次的密码都是动态的变化的，无法自定义，我们可以在application.properties配置security.basic.enabled=false进行关闭。但是此时谁都可以访问我们的接口，很不安全。此时可以在在跟包下创建一个BrowswerSecurityConfig类，集成WebSecurityConfiguerAdapter适配器，此时访问就是如图二那样 http.formLogin()//表示使用表单登录 .and() .authorizeRequests()//表示对请求的授权 .anyRequest()//对任何请求授权 .authenticated();//都需要身份认证

SpringSecurity的原来剖析

SpringSecurity实际上是一系列的过滤器链

1.UsernamepasswordAuthenticationFilter主要负责表单的认证

2.BasicAuthenticationFilter主要负责SpringSecurity默认的basic认证

3.ExceptionTranslationFilter:根据抛出的错误跳转到对应的页面

4.FilterSecurityInterceptor是过滤器类，根据我们的配置是否可以访问后台的接口

自定义用户认证逻辑

1.处理用户信息获取逻辑

要获取用户的信息就需要实现UserDetailsService,并且实现UserDetails loadUserByUsername(String var1) throws UsernameNotFoundException;方法

2.处理用户校验逻辑 用户的校验可以使用关联我们的数据库，根据数据库的数据来进行校验，校验之后会返回一个UserDtails对象。这个对象类如下：

public interface UserDetails extends Serializable {
	Collection<? extends GrantedAuthority> getAuthorities();
	//用户名
	String getPassword();
	//密码
	String getUsername();
	//账户是否超时
	boolean isAccountNonExpired();
	//账户是否被冻结
	boolean isAccountNonLocked();
	//密码是否失效
	boolean isCredentialsNonExpired();
	//是否可用
	boolean isEnabled();
}

3.处理密码加密解密 需要在BrowswerSecurityConfig.java配置passwordEncoder加密器

	/**
	 * 配置密码编码器
	 * [@return](https://my.oschina.net/u/556800)
	 */
	[@Bean](https://my.oschina.net/bean)
	public PasswordEncoder passwordEncoder(){
		return new BCryptPasswordEncoder();
	}

在MyUserDetailsService中的代码如下:

[@Component](https://my.oschina.net/u/3907912)
public class MyUserDetailService implements UserDetailsService {

	@Autowired
	PasswordEncoder passwordEncoder;
   private Logger logger = LoggerFactory.getLogger(MyUserDetailService.class);
	[@Override](https://my.oschina.net/u/1162528)
	public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
	   logger.info("登录用户名："+s);

		String password = passwordEncoder.encode("123");
		logger.info("用户密码:"+password);
		return new User(s,password/*"123"*/,
				true,true,true,true,
				AuthorityUtils.commaSeparatedStringToAuthorityList("admin"));
	}
}

个性化用户认证流程

1.自定义登录页面 自定义登录页面需要在代码中配置如下的代码:

			  http
				.formLogin()//表示使用表单登录
				.loginPage("/imooc-signIn.html")//表示条状登录页面
				.and()
				.authorizeRequests()//表示对请求的授权
				.anyRequest()//对任何请求授权
				.authenticated();//都需要身份认证

但是如果这样以访问会出问题，因为即使是访问登录页面，也需要登录认证，会出现多次访问的情况：

此时代码还需要放权，添加的代码如下:

		.antMatchers("/imooc-signIn.html")
		.permitAll()

加了这个放行的代码之后再次访问会出现如下的显示:

默认情况下的UsernamepasswordAthenticationFilter过滤的路径是/login，源码：

	public UsernamePasswordAuthenticationFilter() {
		super(new AntPathRequestMatcher("/login", "POST"));
	}

为了让SpringSecurity能够过滤我们自定义的路径，如我们表单的路径/authentication/form，需要在BrowswerSecurityConfig.java内配置如下:

				.loginProcessingUrl("/authentication/form")//表示让过滤器处理我们自定义的路径的

此时在此登录会发现如下情况(因为SpringSecurity提供了跨站访问伪造的一个防护)：

此时可以想关闭这个防护

	 .and()
	 .csrf().disable();//关闭跨站伪造的防护

处理不同类型的请求

需要添加一个controller，代码如下所示:

@RestController
public class BrowserSecurityController {
	private Logger logger = LoggerFactory.getLogger(BrowserSecurityController.class);
	//请求缓存
	private RequestCache requestCache = new HttpSessionRequestCache();
	//调转工具
	private RedirectStrategy redirectStrategy = new DefaultRedirectStrategy();
	@Autowired
	SecurityProperties securityProperties;
	/**
	 * 当需要省份认证时跳转到这里
	 *
	 * @param request
	 * @param response
	 * @return
	 */
	@RequestMapping("/authentcation/require")
	@ResponseStatus(code = HttpStatus.UNAUTHORIZED)
	public SimpleResponse requireAuthentication(HttpServletRequest request, HttpServletResponse response) throws IOException {
		//拿到引发跳转的请求
		SavedRequest savedRequest = requestCache.getRequest(request, response);
		if (savedRequest != null) {
			String targetUrl = savedRequest.getRedirectUrl();
			logger.info("引发跳转的请求是:" + targetUrl);
			//如果请求的是html，那么就直接到登录的html
			if (StringUtils.endsWithIgnoreCase(targetUrl, ".html")) {
				redirectStrategy.sendRedirect(request, response, securityProperties.getBrowser().getLoginPage());
			}
		}
		return new SimpleResponse("访问的服务需要省份认证，请引导用户到登录页面");
	}
}

除了添加上年的controller代码之外还需要在配置添加如下的代码:

			   http
//            .httpBasic()//使用的是SpringSecurity的基本认证
				.formLogin()//表示使用表单登录
				.loginPage("/authentcation/require")//通过controller去处理不同类型的请求
				.loginProcessingUrl("/authentication/form")//表示让过滤器处理我们自定义的路径的
				.and()
				.authorizeRequests()//表示对请求的授权
				//表示对登录的页面允许访问，不需要授权
				.antMatchers("/authentcation/require",securityProperties.getBrowser().getLoginPage())
				.permitAll()
				.anyRequest()//对任何请求授权
				.authenticated()//都需要身份认证
				.and()
				.csrf().disable();//关闭跨站伪造的防护

2.自定义登录成功处理 需要实现AuthenticationSuccessHandler接口

@Component("imoocAuthenticationSuccessHandler")
public class ImoocAuthenticationSuccessHandler implements AuthenticationSuccessHandler {
	private Logger logger = LoggerFactory.getLogger(ImoocAuthenticationSuccessHandler.class);
	@Autowired
	private ObjectMapper objectMapper;
	/**
	 *
	 * @param request
	 * @param response
	 * @param authentication 包装了所有的关于用户的信息
	 * @throws IOException
	 * @throws ServletException
	 */
	@Override
	public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
	logger.info("登录成功");
	response.setContentType("application/json;charset=UTF-8");
	//将authentication以json字符串显示回去
	response.getWriter().write(objectMapper.writeValueAsString(authentication));
	}
}

此时已经完成了自定义的的登录成功的处理器的编写，但是仍然无法使用，需要注册进去

/**
 * 专门用来做web安全应用的适配器WebSecurityConfigurerAdapter
 */
@Configuration
public class BrowswerSecurityConfig extends WebSecurityConfigurerAdapter{

	@Autowired
	SecurityProperties securityProperties;
	/**
	 * 登录成功处理器
	 */
	@Autowired
	ImoocAuthenticationSuccessHandler imoocAuthenticationSuccessHandler;
	/**
	 * 登录失败处理器
	 */
	@Autowired
	ImoocAuthenticationFailureHandler imoocAuthenticationFailureHandler;

	/**
	 * 配置密码编码器
	 * @return
	 */
	@Bean
	public PasswordEncoder passwordEncoder(){
		return new BCryptPasswordEncoder();
	}
	@Override
	protected void configure(HttpSecurity http) throws Exception {
			   http
//            .httpBasic()//使用的是SpringSecurity的基本认证
				.formLogin()//表示使用表单登录
				.loginPage("/authentcation/require")//表示条状登录页面
				.loginProcessingUrl("/authentication/form")//表示让过滤器处理我们自定义的路径的
				.successHandler(imoocAuthenticationSuccessHandler)//注册我们的登录成功的处理器
				.failureHandler(imoocAuthenticationFailureHandler)//注册我们自定义的登录失败处理器
				.and()
				.authorizeRequests()//表示对请求的授权
				//表示对登录的页面允许访问，不需要授权
				.antMatchers("/authentcation/require",securityProperties.getBrowser().getLoginPage())
				.permitAll()
				.anyRequest()//对任何请求授权
				.authenticated()//都需要身份认证
				.and()
				.csrf().disable();//关闭跨站伪造的防护

	}
}

此时登录访问，登录成功会出现如下的表现：

3.自定义登录失败处理

需要实现AuthenticationFailureHandler接口

@Component("imoocAuthenticationFailureHandler")
public class ImoocAuthenticationFailureHandler implements AuthenticationFailureHandler {
	private Logger logger = LoggerFactory.getLogger(ImoocAuthenticationFailureHandler.class);
	@Autowired
	private ObjectMapper objectMapper;
	@Override
	public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
		logger.info("登录失败");
		response.setContentType("application/json;charset=UTF-8");
		response.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value());//设置服务器错误
		//将authentication以json字符串显示回去
		response.getWriter().write(objectMapper.writeValueAsString(exception));

	}
}

完成了处理器的代码编写统一需要注册，登录访问失败会有如下的返回值：

上面的自定义处理器存在的问题

前端是表单提交的时候可能就需要直接跳转到登录之前的路径，此时就需要使用跳转，否则就返回json合适

为了实现可以给用户配置，在配置类添加一个登录的类型

	public enum LoginType {
		REDIRECT,//跳转
		JSON//返回json
	}

	public class BrowserProperties {
		private String loginPage = "/imooc-signIn.html";
		private LoginType loginType = LoginType.JSON;

		public BrowserProperties() {
		}

		public String getLoginPage() {
			return loginPage;
		}

		public void setLoginPage(String loginPage) {
			this.loginPage = loginPage;
		}

		public LoginType getLoginType() {
			return loginType;
		}

		public void setLoginType(LoginType loginType) {
			this.loginType = loginType;
		}
	}

在登录成功失败添加登录类型判断:

   if (LoginType.JSON.equals(securityProperties.getBrowser().getLoginType())) {
			response.setContentType("application/json;charset=UTF-8");
			response.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value());//设置服务器错误
			//将authentication以json字符串显示回去
			response.getWriter().write(objectMapper.writeValueAsString(exception));
		}else {
		}

在代码添加好这些功能之后就可以在配置文件配置：

imooc.security.browser.loginType=REDIRECT

转载于:https://my.oschina.net/u/3474937/blog/3024518

Joe?
关注
spring security原理和机制 | Spring Boot 35
学Java，找哪吒
06-25 5万+
一、SpringSecurity 框架简介 Spring 是非常流行和成功的 Java 应用开发框架，Spring Security 正是 Spring 家族中的 成员。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方 案。 正如你可能知道的关于安全方面的两个主要区域是“认证”和“授权”（或者访问控 制），一般来说，Web 应用的安全性包括用户认证（Authentication）和用户授权 （Authorization）两个部分，这两点也是 Spring
SpringSecurity基本原理
xiomarazark的博客
03-12 573
SpringSecurity基本原理 SpringSecurity本质上是一个过滤器链 代码底层流程：重点看三个过滤器 FilterSecurityInterceptor——是一个方法级的权限过滤器链的最底部 //过滤方法 public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
Spring Security 原理讲解
qq_34485381的博客
06-19 899
一、整理了解下Spring Security 的工作原理 如上图所示，spring security 的主要工作就是在原有的网络请求的过滤器链（ApplicationFilterChain）中额外添加一条过滤器链(FilterChainProxy),主要用于用户认证与授权。 请求进入web容器经一些容器自身的基础加工后，进入到servlet的滤器链中，spring security 使用DelegatingFilterProxy这个filter，将targetBea...
SpringSecurity原理解析（一）
liang8999的博客
09-07 973
在上边可以发现 SecurityContext 真正保存在 SecurityContextHolderStrategy 中的。SecurityContext 存储保存 Authentication，SecurityContextHolder存储并保存。下面来看看在spring-security-core中的SecurityContextHolder，这个是一个非常基础的。对象，存储了当前应用的上下文SecurityContext，而在SecurityContext可以获取。
Spring Security的工作原理
热门推荐
一个人的江湖
08-24 1万+
1 结构总览 Spring Security所解决的问题就是安全访问控制，而安全访问控制功能其实就是对所有进入系统的请求进行拦截， 校验每个请求是否能够访问它所期望的资源。而Spring Security对Web资源的保护是靠Filter实现的。当初始化Spring Security时，会创建一个名为 springSecurityFilterChain 的Servlet过滤器，类型为org.springframework.security.web.FilterChainProxy，它实现了javax.ser
spring security 基本原理
weixin_47460834的博客
06-27 1284
spring security本质上就是一个过滤器链（javaweb），由很多个过滤器组成，大概有十几个；其中比较典型的过滤器：其实spring security出现得比springboot还要早，但是自从有了spirngboot之后，springboot对spring security提供了自动化配置方案，可以使用更少配置来使用。虽然有springboor，还是要了解spring security过滤器加载过程:在spring security应用中会用到两个重要的接口： 在实际项目中，账号和
SpringSecurity基本原理图
11-12
对Security基本执行过程的分析和各个环节类执行的分析。
springsecurity基本原理
06-09
Spring Security 是一款基于 Spring 框架的安全框架，其基本原理可概括如下： 1. 认证（Authentication）：Spring Security 提供了多种认证方式，包括表单认证、HTTP 基本认证、OpenID 认证、LDAP 认证等，可以根据...
springSecurity基本原理
gaston的博客
11-01 279
啥也不说先贴代码： spring.datasource.driver-class-name = com.mysql.jdbc.Driver spring.datasource.url = jdbc:mysql://127.0.0.1:3306/imooc-demo?useUnicode=yes&amp;characterEncoding=UTF-8 spring.datasource.user...
SpringSecurity的基本原理（一）
ZhuPengWei_
12-20 7828
SpringSecurity基本原理 SpringSecurity 最核心的东西 其实是一个过滤器链，一组Filter 所有发送的请求都会经过Filter链，同样响应也会经过Filter链，在系统启动的时候springboot会自动的把他们配置进去（Springboot只是一种框架，只是方便了使用，其核心还是一样的）UsernamePasswordAuthticationFilter 表单登陆
Spring Security 原理
最新发布
Flying_Fish_roe的博客
09-27 1040
Spring Security 通过其核心组件和灵活的架构提供了强大的安全保护能力。理解其核心原理，如、过滤器链和授权机制，可以帮助开发者更好地设计和实现安全可靠的 Java 应用程序。
springsecurity原理
weixin_42383680的博客
05-15 361
在 '快速入门' 中，我们在Boot项目里面引入了Security依赖，实现了当我们访问某个业务接口时，会被Security的login接口拦截，但是如果我们不想使用Security默认的登录页面，那么怎么办呢，还有，springsecurity的校验，我们希望是根据数据库来做校验，那么怎么实现呢。我们需要实现如下【登录-未实现】①、自定义登录接口。用于调用ProviderManager的方法进行认证 如果认证通过生成jwt，然后把用户信息存入redis中。
Spring Security原理
qixiang_chen的博客
06-30 1502
Spring Security原理是通过使用过滤器Filter，实现责任链设计模式，通过预先configure(HttpSecurity http)设定责任链过滤规则实现认证和授权。 过滤器通过spring容器托管实现，需要使用代理DelegatingFilterProxy实现 FilterChainProxy 过滤器链代理，是通过DelegatingFilterProxy代理Spring容器中的对象。 官方文档中描述Filter列表包括 https://docs.spring.io/spring
spring security原理
西瓜
08-16 254
https://www.cnblogs.com/vincent2010/p/4911057.html https://blog.csdn.net/lbqssss/article/details/78971037
springSecurity安全框架的学习和原理解读
执笔写童话的博客
04-25 1128
转 springSecurity安全框架的学习和原理解读 标签： java springsecurity 更多 最近在公司的项目中使用了spring security框架，所以有机会来学习一下，公司的项目是使用springboot搭建 springBoot版本1.59 spring security 版本4.2.3 （个人理解可能会有偏差，希望有不正确之处，大家能够指出来，共同探讨交流。） 目录...
Spring Security基本原理
花&败
07-17 3363
1、SpringSecurity 本质是一个过滤器链 SpringSecurity 采用的是责任链的设计模式，它有一条很长的过滤器链。现在对这条过滤器链的各个进行说明: WebAsyncManagerIntegrationFilter：将 Security 上下文与 Spring Web 中用于处理异步请求映射的 WebAsyncManager 进行集成。 SecurityContextPersistenceFilter：在每次请求处理之前将该请求相关的安全上下文信息加载到 Securi
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值