SpringSecurity Web权限方案

最新推荐文章于 2024-04-11 15:01:07 发布
最新推荐文章于 2024-04-11 15:01:07 发布
阅读量229 收藏 1
点赞数
分类专栏： SpringSecurity 文章标签： SpringBoot SpringSecurity
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43738764/article/details/119037595
版权
本文详细介绍了如何使用Spring Security实现Web权限管理，包括配置登录账号、查询数据库验证、自定义登录页面、403访问页面、登录成功跳转、登出功能、记住用户、基于角色和权限的访问控制，以及CSRF防护。内容涵盖从硬编码账号到数据库查询用户，再到前后端交互的安全设置，为Web应用提供了全面的安全基础配置。
摘要由CSDN通过智能技术生成

三、SpringSecurity Web 权限方案


1、设置登录账号、密码

  1. 在 application.properties添加相应的配置

    • spring.security.user.name=test
spring.security.user.password=test

  2. 编写配置类

    • @Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        BCryptPasswordEncoder bCryptPasswordEncoder = new BCryptPasswordEncoder();
        String password = bCryptPasswordEncoder.encode("test");
        auth.inMemoryAuthentication().withUser("test").password(password).roles("admin");
    }

    @Bean
    PasswordEncoder password(){
        return new BCryptPasswordEncoder();
    }
}

  3. 自定义实现类

    • //自定义实现UserDetailsService接口
@Service
public class MyUserDetailsService implements UserDetailsService {

    @Autowired
    private UsersMapper usersMapper;

    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        //给用户赋值权限、或者角色，也可以从数据库查询
        List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("test");
        //返回的是SpringSecurity自带的UserDeatils接口实现类
        return new User("test","test",auths);
    }
}

    • //编写配置类
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(new PasswordEncoder() {
            @Override
            public String encode(CharSequence charSequence) {
                return charSequence.toString();
            }

            @Override
            public boolean matches(CharSequence charSequence, String s) {
                return s.equals(charSequence.toString());
            }
        });
    }
}


2、查询数据库完成验证

上面都是写死了登录帐号、密码，接下来演示通过数据库查询，整合了MybatisPlus自行学习

  1. 编写自定义类实现UserDetailsService接口

    • //编写自定义类实现UserDetailsService接口
@Service
public class MyUserDetailsService implements UserDetailsService {

    @Autowired
    private UsersMapper usersMapper;

    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        QueryWrapper<Users> wrapper = new QueryWrapper<>();
        wrapper.eq("username",s);
        Users users = usersMapper.selectOne(wrapper);
        //以上是MybatisPlus从数据库查询用户信息相关操作，自行学习
        if( users == null){
            throw new UsernameNotFoundException("用户名不存在！");
        }
        //给用户赋值权限、或者角色，也可以从数据库查询
        List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("test");
        return new User(users.getUsername(), users.getPassword(), auths);
    }
}

  2. 编写配置类

    • //编写配置类
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(new PasswordEncoder() {
            @Override
            public String encode(CharSequence charSequence) {
                return charSequence.toString();
            }

            @Override
            public boolean matches(CharSequence charSequence, String s) {
                return s.equals(charSequence.toString());
            }
        });
    }
}


3、自定义登录页面

  1. 前端页面代码

    • <!DOCTYPE html>
<head lang="en">
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8"/>
    <title>login页面</title>
</head>
<body>


<h1>表单提交</h1>ht
<form action="/user/login"  method="post">
    <input type="text" name="username" />
    <input type="text" name="password" />
    <input type="submit" />
</form>
</body>
</html>

  2. 编写配置类

    • //编写配置类
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin()
                .loginPage("/login.html")//设置登录页面
                .loginProcessingUrl("/user/login")//设置表单action提交路径
                .defaultSuccessUrl("/test/index").permitAll();//登录成功后跳转的路径

        http.authorizeRequests()//对于路径请求
                .antMatchers("/", "/test/hello", "/user/login").permitAll()//这类路径直接放行
                .anyRequest().authenticated();//其他的任何请求都需要认证

        http.csrf().disable();//关系CSRF
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(new PasswordEncoder() {
            @Override
            public String encode(CharSequence charSequence) {
                return charSequence.toString();
            }

            @Override
            public boolean matches(CharSequence charSequence, String s) {
                return s.equals(charSequence.toString());
            }
        });
    }   
}


4、自定义403访问页面

  1. 前端页面

    • <!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>没有权限访问页面</title>
</head>
<body>
    <h1>没有访问权限！</h1>
</body>
</html>

  2. 编写配置类

    @Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //自定义403访问页面
        http.exceptionHandling().accessDeniedPage("/unauth.html");

        http.formLogin()
                .loginPage("/login.html")
                .loginProcessingUrl("/user/login")
                .defaultSuccessUrl("/test/index").permitAll();

        http.authorizeRequests()
                .antMatchers("/", "/user/login").permitAll()
                .antMatchers("/test/hello").hasAnyRole("admin,test")
                .anyRequest().authenticated();

        http.csrf().disable();
    }
}


5、自定义登录成功跳转页面

  1. 前端页面

    • <!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
    登录成功！
    <a href="/logout">退出</a>
</body>
</html>

  2. 编写配置类

    • @Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //自定义403访问页面
        http.exceptionHandling().accessDeniedPage("/unauth.html");

        http.formLogin()
                .loginPage("/login.html")
                .loginProcessingUrl("/user/login")
                .defaultSuccessUrl("/test/index").permitAll();//成功后跳转的路径

        http.authorizeRequests()
                .antMatchers("/", "/user/login").permitAll()
                .antMatchers("/test/hello").hasAnyRole("admin,test")
                .anyRequest().authenticated();

        http.csrf().disable();
    }
}


6、自定义登出功能

  1. ​ 编写配置类

    • @Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
    	http.logout().logoutUrl("/logout").//自定义登出路径
                logoutSuccessUrl("/test/hello").permitAll();//登出后跳转到的页面
    
        //自定义403访问页面
        http.exceptionHandling().accessDeniedPage("/unauth.html");

        http.formLogin()
                .loginPage("/login.html")
                .loginProcessingUrl("/user/login")
                .defaultSuccessUrl("/test/index").permitAll();//成功后跳转的路径

        http.authorizeRequests()
                .antMatchers("/", "/user/login").permitAll()
                .antMatchers("/test/hello").hasAnyRole("admin,test")
                .anyRequest().authenticated();

        http.csrf().disable();
    }
}


7、记住用户的功能实现

  1. 流程图：

    • 在这里插入图片描述

  2. 实现原理：

    • 在这里插入图片描述

  3. 实现流程

    1. 前端页面

      • <!DOCTYPE html>
<head lang="en">
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8"/>
    <title>login页面</title>
</head>
<body>


<h1>表单提交</h1>ht
<form action="/user/login"  method="post">
    <input type="text" name="username" />
    <input type="text" name="password" />
    <input type="checkbox"name="remember-me"title="记住密码"/><br/>
    <input type="submit" />
</form>
</body>
</html>

    2. 创建数据库表

      • CREATE TABLE `persistent_logins` (
 `username` varchar(64) NOT NULL,
 `series` varchar(64) NOT NULL,
 `token` varchar(64) NOT NULL,
 `last_used` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE 
CURRENT_TIMESTAMP,
 PRIMARY KEY (`series`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

    3. 配置类中要注入数据源，配置操作数据库对象

      • @Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

        @Bean
    public PersistentTokenRepository persistentTokenRepository(){
        JdbcTokenRepositoryImpl jdbcTokenRepository = new JdbcTokenRepositoryImpl();
        jdbcTokenRepository.setDataSource(dataSource);
        return jdbcTokenRepository;
    }
}

    4. 配置类中配置自动登录

      • @Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    @Bean
    public PersistentTokenRepository persistentTokenRepository(){
        JdbcTokenRepositoryImpl jdbcTokenRepository = new JdbcTokenRepositoryImpl();
        jdbcTokenRepository.setDataSource(dataSource);
        return jdbcTokenRepository;
    }
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.logout().logoutUrl("/logout").
                logoutSuccessUrl("/test/hello").permitAll();

        http.exceptionHandling().accessDeniedPage("/unauth.html");

        http.formLogin()
                .loginPage("/login.html")
                .loginProcessingUrl("/user/login")
                .defaultSuccessUrl("/test/index").permitAll();

        http.authorizeRequests()
                .antMatchers("/", "/user/login").permitAll()
                .antMatchers("/test/hello").hasAnyRole("admin,test")
                .anyRequest().authenticated();

        http.rememberMe().tokenRepository(persistentTokenRepository())//开启记住用户的选项
                .tokenValiditySeconds(60)//设置有效时长，单位秒
                .userDetailsService(userDetailsService);

        http.csrf().disable();
    }
}


8、基于角色或权限进行访问控制

  1. hasAuthority 方法

    • 含义：如果当前的主体具有指定的权限，则返回 true,否则返回 false

    • .antMatchers("/test/hello").hasAuthority("admin")

    • 在这里插入图片描述

  2. hasAnyAuthority 方法

    • 含义：如果当前的主体有任何提供的角色（给定的作为一个逗号分隔的字符串列表）的话，返回true

    • .antMatchers("/test/hello").hasAnyAuthority("admin,test")

  3. hasRole 方法

    • 含义：如果用户具备给定角色就允许访问,否则出现 403。如果当前主体具有指定的角色，则返回 true。

    • .antMatchers("/test/hello").hasRole("test")

    • 注意事项：在这里插入图片描述

  4. hasAnyRole

    • 含义：表示用户具备任何一个角色都可以访问。

    • .antMatchers("/test/hello").hasAnyRole("admin,test")


9、认证授权注解使用

  1. @Secured

    • 需要在配置类上先开启注解功能**@EnableGlobalMethodSecurity(securedEnabled=true)**

    • 含义：判断是否具有角色，另外需要注意的是**这里匹配的字符串需要添加前缀“ROLE_“**。

    • @RestController
@RequestMapping("test")
public class IndexController {

    @GetMapping("hello")
    @Secured({"ROLE_role"})
    public String hello() {
        return "hello security";
    }
}

  2. @PreAuthorize

    • 需要在配置类上先开启注解功能**@EnableGlobalMethodSecurity(prePostEnabled = true)**

    • 含义：适合进入方法前的权限验证。判断是否有权限进入方法

    • @RestController
@RequestMapping("test")
public class IndexController {

    @GetMapping("hello")
    @PreAuthorize("hasAnyAuthority('admin,test')")
    public String hello() {
        return "hello security";
    }
}

  3. @PostAuthorize

    • 需要在配置类上先开启注解功能**@EnableGlobalMethodSecurity(prePostEnabled = true)**

    • 含义：在方法执行后再进行权限验证。是否有权限返回。

    • @RestController
@RequestMapping("test")
public class IndexController {

    @GetMapping("hello")
    @PostAuthorize("hasAnyAuthority('admin,test')")
    public String hello() {
        return "hello security";
    }
}

  4. @PreFilter

    • 含义：进入控制器之前对数据进行过滤。

    • @RestController
@RequestMapping("test")
public class IndexController {

    @GetMapping("hello")
    @PreFilter(value = "filterObject.id%2==0")//只允许id为偶数的进入方法
    public String hello() {
        return "hello security";
    }
}

  5. @PostFilter

    • 含义：方法返回时对数据进行过滤。

    • @RestController
@RequestMapping("test")
public class IndexController {

    @GetMapping("hello")
    @PostFilter("filterObject.username == 'admin1'")//只留下用户名是 admin1 的数据
    public String hello() {
        return "hello security";
    }
}


10、CSRF应用

  1. CSRF 理解

    • 跨站请求伪造也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF
    • 是一种挟制用户在当前已登录的 Web 应用程序上执行非本意的操作的攻击方法。跟跨网站脚本（XSS）相比，XSS利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。
    • 跨站请求攻击，简单地说，是**攻击者通过一些技术手段欺骗用户的浏览器去访问一个自己曾经认证过的网站并运行一些操作（如发邮件，发消息，甚至财产操作如转账和购买商品）**。由于浏览器曾经认证过，所以被访问的网站会认为是真正的用户操作而去运行。
    • 利用了 web 中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求本身是用户自愿发出的

  2. Spring Security 实现 CSRF 的原理：

    1. 生成 csrfToken 保存到 HttpSession 或者 Cookie 中。
    2. 请求到来时，从请求中提取 csrfToken，和保存的 csrfToken 做比较，进而判断当前请求是否合法。主要通过 CsrfFilter 过滤器来完成。

  3. 实现过程：

    需要整合thymeleaf，自行学习

    1. 前端页面里面添加 <input type=“hidden” name="${_csrf.parameterName}" value=“​${_csrf.token}” />

      • <!DOCTYPE html>
<html  xmlns:th="http://www.thymeleaf.org">
<head lang="en">
    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8"/>
    <title>xx</title>
</head>
<body>


<h1>表单提交</h1>
<!-- 表单提交用户信息,注意字段的设置,直接是*{} -->
<form action="/user/login"  method="post">
    //需要添加下面这行存储csrftoken
    <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
    <input type="text" name="username" />
    <input type="text" name="password" />
    <input type="checkbox"name="remember-me"title="记住密码"/><br/>
    <input type="submit" />
</form>
</body>
</html>

    2. 配置类中去掉 http.csrf().disable();

深夜面包
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
SpringSecurity中web权限方案
xiomarazark的博客
03-15 1147
SpringSecurity在web权限中的使用
SpringSecurity（Web权限方案）
YSecret_Y的博客
01-22 3187
SpringSecurity 一、基本概要 1、认证和授权 1、认证：用户是否登录 2、授权：用户是否有权利去做别的东西 2、特点 全面的权限控制 为web开发设计 旧版本不能脱离Web环境 新版本对整个框架进行分层抽取，分层核心模块和web模块。单独引入核心模块就尅脱离Web环境 重量级 （依赖于很多组件和依赖） 3、和Shiro 相比 1、shiro更轻量、更灵活 2、SpringSecurity功能比Shiro更强大，可以做单点登录 二、入门案例 1、创建springboot工程 springb
Spring Security概述及web权限方案
Oasis
12-08 290
一、概述 Spring Security基于Spring框架，提供了一套Web应用安全性的完整解决方案。一般来说，Web应用的安全性包括用户认证和用户授权两个部分，这两点也是Spring Security的重要核心功能。 (1)用户认证：验证某个用户是否为系统中的合法主体，也就是说用户能否访问改系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认证过程。通俗点说就是系统认为用户是否能登陆。 (2)用户授权：要争某个用户是否有权限执行某个操作。在一个
JavaWeb 利用springsecurity做用户权限限制
沉默王二
12-05 8344
JavaWeb 利用springsecurity做用户权限限制
【Spring Security】WebSecurity
be Free & Happy
10-09 156
首先，查看WebSecurity类图，如下： SecurityBuilder是基础接口，代码如下： public interface SecurityBuilder<O> { /** * Builds the object and returns it or null. * * @return the Object to be built or null if...
springboot springsecurity动态权限控制
09-18
在这个“springboot springsecurity动态权限控制”的主题中，我们将深入探讨如何在Spring Boot项目中集成Spring Security，实现动态权限控制，让菜单权限的管理更加灵活和高效。 首先，我们需要理解Spring Security...
springsecurity角色和权限
12-13
Spring Security 是一个强大的和高度可定制的身份验证和访问控制框架，用于保护基于Java的Web应用程序。这个框架提供了全面的安全解决方案，包括用户身份验证、角色分配、权限管理以及对HTTP请求的细粒度过滤。让...
Spring security实现权限管理示例
08-31
总结来说，Spring Security提供了一套完整的解决方案，涵盖了用户认证、授权、会话管理等多个方面，是Java应用实现权限管理的理想选择。通过配置和编程接口，我们可以灵活地控制用户对系统资源的访问，从而保护应用...
SpringSecurity+OAuth2+JWT分布式权限控制.zip
07-23
本项目“SpringSecurity+OAuth2+JWT分布式权限控制”旨在提供一个完整的解决方案，帮助开发者构建安全的、基于微服务的分布式应用程序。 Spring Security 是一个强大的和高度可定制的身份验证和授权框架，适用于...
Spring Security模块
09-03
Spring Security 是一个强大的且高度可定制的身份验证和访问控制框架，主要用于构建安全的 Java Web 应用程序。它提供了一套全面的安全解决方案，包括身份验证、授权、会话管理以及跨站请求伪造（CSRF）防护等功能。...
基于springsecurity的用户角色权限
08-24
适合初学者使用，代码简单，未连接数据库，全部集成在.xml中。有注释，注释全面。可以进行二次开发。
Web2.0 Security
10-07
The information contained in this document represents the current view of TrustStix Corporation on the issues discussed as of the date of publication. Because TrustStix must respond to changing market conditions, it should not be interpreted to be a commitment on the part of TrustStix, and TrustStix
【Spring Security】—— WebSecurity
qq_33471737的博客
06-28 650
官网地址 Spring Security Reference 版本：Version 5.5.0 WebSecurity 的继承关系图 在前面了解过 WebSecurity、HttpSecurity、AuthenticationManagerBuilder 这三个重要构建者公共的部分： |- SecurityBuilder |- AbstractSecurityBuilder |- AbstractConfiguredSecurityBuilder 公共的这部分对构建者做扩展，点击这里可以回顾
SpringSecurity---web
tianynnb的博客
07-28 1015
1. SpringSecurity 特点： 和 Spring 无缝整合。 全面的权限控制。 专门为 Web 开发而设计。 旧版本不能脱离 Web 环境使用。 新版本对整个框架进行了分层抽取，分成了核心模块和 Web 模块。单独引入核心模块就可以脱离 Web 环境。 重量级 1.1Shiro特点 轻量级。Shiro 主张的理念是把复杂的事情变简单。针对对性能有更高要求的互联网应用有更好表现。 通用性。 好处：不局限于 Web 环境，可以脱离 Web 环境使用。 缺陷：在 Web 环境下一些特定的
Spring Security Web安全性解决方案
最新发布
HideonHacker的博客
04-11 737
Spring 是一个非常流行和成功的 Java 应用开发框架。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。一般来说，Web 应用的安全性包括用户认证（Authentication）和用户授权（Authorization）两个部分。Spring Security 是通过加入自定义过滤器的方式，对访问请求进行认证和鉴权，核心过滤器就是认证过滤器和鉴权过滤器。
SpringSecurity保护web
码农界扛把子的博客
03-22 228
首先要理解SpringSecurity的模块，一共有11个模块 ACL ：支持通过访问控制列表为域对象提供安全性 切面：一个很小的模块，当使用springSecurity注解时，会使用AspectJ的切面，而不是使用标准的SpringAOP CAS客户端：提供与Jasig的中心认证服务进行集成的功能 配置（Configuration）:包含通过xml和java配置springSecurity的功能...
Spring Security : Web安全构建器 WebSecurity
Details Inside Spring
09-02 2386
package org.springframework.security.config.annotation.web.builders; // 这里省略了各个 import 导入行 /** * * WebSecurity 由 WebSecurityConfiguration 创建，用于创建 FilterChainProxy, 这个 FilterChainProxy * 也就是通常我们...
16、Spring MVC 之 Web Security
carl.zhao的专栏
11-05 1515
Spring Security是一个单独的项目,它可以无缝的和Spring MVC集成。Spring Security提供会特性保护web应用来自恶意的攻击。
Spring Security源码学习——建造者之WebSecurity
clyu的博客
09-18 201
二、WebSecurity WebSecurity 的目标是构建 FilterChainProxy 对象，即构建核心过滤器 springSecurityFilterChain 主要关注由 AbstractConfiguredSecurityBuilder 继承下来的方法实现 performBuild() public final class WebSecurity extends AbstractConfiguredSecurityBuilder<Filter, WebSecurity&g
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值