SpringSecurity+Jwt+Autho2整合(一)

已于 2024-03-31 00:48:44 修改
阅读量1.8k 收藏 7
点赞数
分类专栏： # Java安全框架 文章标签： springsecuity
于 2021-08-08 18:04:49 首次发布
https://github.com/hakusai22
本文链接：https://blog.csdn.net/weixin_45480785/article/details/119517358
版权

SpringSecurity+JWT+Autho2整合

一. SpringSecurity简介

  • Spring家族一员。是一个能够为基于Spring的企业应用系统提供声明式的安全访
    问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC ， DI（控制反转Inversion of Control,DI:Dependency Injection 依赖注入）和 AOP（面向切面编程） 功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

二. SpringSecurity快速入门

①. 导入依赖

        <!--spring security组件-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <!--web组件-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

在这里插入图片描述

②. 登录页面

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<form action="/login" method="post">
    用户名：<input type="text" name="username123"/><br/>
    密码：<input type="password" name="password123"/><br/>
    记住我：<input type="checkbox" name="remember-me" value="true"/><br/>
    <input type="submit" value="登录"/>
</form>
</body>
</html>

③. 访问页面

  • 导入spring-boot-starter-security 启动器后，Spring Security 已经生效，默认拦截全部请求，如果用户没有登录，跳转到内置登录页面。
    在这里插入图片描述

④. UserDetailsService详解

  • 当什么也没有配置的时候，账号和密码是由 Spring Security 定义生成的。而在实际项目中账号和密码都是从数据库中查询出来的。所以我们要通过自定义逻辑控制认证逻辑。如果需要自定义逻辑时，只需要实现 UserDetailsService 接口即可。接口定义如下：

在这里插入图片描述

⑤. UserDetails详解

  • 返回值 UserDetails 是一个接口，定义如下

在这里插入图片描述

在这里插入图片描述

⑥. PasswordEncoder 密码解析器详解

  • Spring Security 要求容器中必须有 PasswordEncoder 实例。所以当自定义登录逻辑时要求必须给容器注入 PaswordEncoder 的bean对象。
    在这里插入图片描述
  • encode() ：把参数按照特定的解析规则进行解析。
  • matches() ：验证从存储中获取的编码密码与编码后提交的原始密码是否匹配。如果密码匹配，则返回 true；如果不匹配，则返回 false。第一个参数表示需要被解析的密码。第二个参数表示存储的密码。
  • upgradeEncoding() ：如果解析的密码能够再次进行解析且达到更安全的结果则返回 true，否则返回 false。默认返回 false。

⑦. 自定义登录逻辑_修改配置类

1. 登录页面配置

  • 修改配置类中主要是设置哪个页面是登录页面。配置类需要继承WebSecurityConfigurerAdapte,并重写 configure 方法。
  • successForwardUrl() ：登录成功后跳转地址
  • loginPage() ：登录页面
  • loginProcessingUrl ：登录页面表单提交地址，此地址可以不真实存在。
  • antMatchers() ：匹配内容
  • permitAll() ：允许
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   @Override
   protected void configure(HttpSecurity http) throws Exception {
      //表单提交
      http.formLogin()
            //自定义登录页面
           .loginPage("/login.html")
            //当发现/login时认为是登录，必须和表单提交的地址一样。去执行UserServiceImpl
           .loginProcessingUrl("/login")
            //登录成功后跳转页面，POST请求
           .successForwardUrl("/toMain");
       http.authorizeRequests()
            //login.html不需要被认证
           .antMatchers("/login.html").permitAll()
            //所有请求都必须被认证，必须登录后被访问
           .anyRequest().authenticated();
      //关闭csrf防护
      http.csrf().disable();
   }
   @Bean
   public PasswordEncoder getPw(){
      return new BCryptPasswordEncoder();
   }
}

2. 失败跳转

在这里插入图片描述

3. 添加控制器的方法

在这里插入图片描述

4. 设置请求账户和密码的参数名

在这里插入图片描述
在这里插入图片描述

5. 自定义登录成功处理器

在这里插入图片描述
在这里插入图片描述

6. 自定义登录失败处理器

在这里插入图片描述

在这里插入图片描述

7. 访问控制url匹配

anyRequest()

  • 一般情况下此方法都会使用，设置全部内容都需要进行认证。
    在这里插入图片描述

antMatcher()

  • 在实际项目中经常需要放行所有静态资源
    在这里插入图片描述

regexMatchers()

  • 使用正则表达式进行匹配。和 antMatchers() 主要的区别就是参数， antMatchers() 参数是 ant表达式， regexMatchers() 参数是正则表达式。

在这里插入图片描述

mvcMatchers()

  • mvcMatchers()适用于配置了 servletPath 的情况。

在这里插入图片描述

8. 内置访问控制方法

  • Spring Security 匹配了 URL 后调用了 permitAll() 表示不需要认证，随意访问。在 Spring Security
    中提供了多种内置控制。

permitAll()

  • permitAll()表示所匹配的 URL 任何人都允许访问。

在这里插入图片描述

anonymous()

  • anonymous()表示可以匿名访问匹配的URL。和permitAll()效果类似，只是设置为 anonymous()的 url会执行 filter 链中

rememberMe()

  • 被“remember me”的用户允许访问

fullyAuthenticated()

  • 如果用户不是被 remember me 的，才可以访问。

9. 角色权限判断

  • 除了之前讲解的内置权限控制。Spring Security 中还支持很多其他权限控制。这些方法一般都用于用
    户已经被认证后，判断用户是否具有特定的要求。

hasAuthority(String)

  • 判断用户是否具有特定的权限，用户的权限是在自定义登录逻辑中创建 User 对象时指定的。下图中admin和normal 就是用户的权限。admin和normal 严格区分大小写。
    在这里插入图片描述

hasAnyAuthority(String …)

  • 如果用户具备给定权限中某一个，就允许访问。
    在这里插入图片描述

hasRole(String)

  • 如果用户具备给定角色就允许访问。否则出现 403。
    在这里插入图片描述

hasAnyRole(String …)

  • 如果用户具备给定角色的任意一个，就允许被访问
    在这里插入图片描述

hasIpAddress(String)

  • 如果请求是指定的 IP 就运行访问。可以通过 request.getRemoteAddr() 获取 ip 地址。

在这里插入图片描述

10. 自定义403处理方案

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

11. 基于表达式的访问控制

access()方法使用

在这里插入图片描述

使用自定义方法

  • 判断登录用户是否具有访问当前 URL 权限。

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

⑨. 基于注解的访问控制

开启注解

在这里插入图片描述

@Secured

  • @Secured 是专门用于判断是否具有角色的。能写在方法或类上。参数要以 ROLE_开头。
    在这里插入图片描述

@PreAuthorize/@PostAuthorize

  • @PreAuthorize 表示访问方法或类在执行之前先判断权限，大多情况下都是使用这个注解，注解的参数和access()方法参数取值相同，都是权限表达式。
  • @PostAuthorize 表示方法或类执行结束后判断权限，此注解很少被使用到。

在这里插入图片描述

⑩. RememberMe功能实现

  • Spring Security 中 Remember Me 为“记住我”功能，用户只需要在登录时添加 remember-me复选
    框，取值为true。Spring Security 会自动把用户信息存储到数据源中，以后就可以不登录进行访问

1. 添加依赖

  • Spring Security 实 现 Remember Me 功 能 时 底 层 实 现 依 赖Spring-JDBC，所以需要导入 SpringJDBC。以后多使用 MyBatis 框架而很少直接导入 spring-jdbc，所以此处导入 mybatis 启动器同时还需
    要添加 MySQL 驱动。

在这里插入图片描述

2. 配置数据源

  • 在 application.properties 中配置数据源。
spring.datasource.driver-class-name= com.mysql.jdbc.Driver
spring.datasource.url= jdbc:mysql://localhost:3306/security?useUnicode=true&characterEncoding=UTF-8&serverTimezone=Asia/Shanghai
spring.datasource.username= root
spring.datasource.password= 1234

3. 编写配置

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

4. 在客户端页面添加复选框

  • 在客户端登录页面中添加 remember-me 的复选框，只要用户勾选了复选框下次就不需要进行登录了。

在这里插入图片描述

5. 有效时间

在这里插入图片描述

十一. Thymeleaf中SpringSecurity的使用

1. 导入依赖

在这里插入图片描述

2. 在 html 页面中引入 thymeleaf 命名空间和 security 命名空间

3. 获取属性

  • 可以在html页面中通过 sec:authentication=“” 获取
    UsernamePasswordAuthenticationToken 中所有 getXXX 的内容，包含父类中的 getXXX 的内容。
  • 根据源码得出下面属性：
  • name ：登录账号名称
  • principal ：登录主体，在自定义登录逻辑中是 UserDetails
  • credentials ：凭证
  • authorities ：权限和角色
  • details ：实际上是 WebAuthenticationDetails 的实例。可以获取 remoteAddress (客户端ip)和 sessionId (当前 sessionId)

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

十二. 退出登录

  • 在这里插入图片描述

十三. SpringSecurity中的CSRF

  • 在配置类中一直存在这样一行代码： http.csrf().disable(); 如果没有这行代码导致用户无法被认证。这行代码的含义是：关闭 csrf 防护。

1. 什么是CSRF

  • CSRF（Cross-site request forgery）跨站请求伪造，也被称为“OneClick Attack” 或者 SessionRiding。通过伪造用户请求访问受信任站点的非法请求访问。
  • 跨域：只要网络协议，ip 地址，端口中任何一个不相同就是跨域请求。
  • 客户端与服务进行交互时，由于 http 协议本身是无状态协议，所以引入了cookie进行记录客户端身份。在cookie中会存放session id用来识别客户端身份的。在跨域的情况下，session id 可能被第三方恶意劫持，通过这个 session id 向服务端发起请求时，服务端会认为这个请求是合法的，可能发生很多意想不到的事情。

2. Spring Security中的CSRF

  • 从 Spring Security4开始CSRF防护默认开启。默认会拦截请求。进行CSRF处理。CSRF为了保证不是其他第三方网站访问，要求访问时携带参数名为 _csrf 值为token(token 在服务端产生)的内容，如果token和服务端的token匹配成功，则正常访问。

在这里插入图片描述

在这里插入图片描述

Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权
03-24
Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权。 OAuth2是一个关于授权的开放标准，核心思路是通过各类认证手段（具体什么手段OAuth2不关心）认证用户身份，并颁发token（令牌），使得第三方应用可以使用该令牌在限定时间、限定范围访问指定资源。
Spring Security并结合JWT实现用户认证(Authentication) 和用户授权(Authorization)
永远热泪盈眶 坚持输出
08-09 6167
引言 在Web应用开发中，安全一直是非常重要的一个方面。Spring Security基于Spring 框架，提供了一套Web应用安全性的完整解决方案。 JwT (JSON Web Token) 是当前比较主源的Token令牌生成方案，非常适合作为登录和授权认证的凭证。 这里我们就使用 Spring Security并结合JWT实现用户认证(Authentication) 和用户授权(Authorization) 两个主要部分的安全内容。 一、JWT与Aoth2的区别 在此之前，只是停留在用的阶段，对二者的
SpringSecurity+jwt实现权限认证功能
最新发布
m0_74823983的博客
02-28 316
前面我们已经通过使用springboot框架获得了管理数据的基本能力，但是一个系统不和或缺的功能是安全登录。这里我们以springsecurity+jwt方案实现登录以及权限控制。本文对jwt登录校验，权限管理的原理简单描述，并且提供了实现方案。
Spring Security + OAuth2.0 + JWT
qq_42155347的博客
05-06 3422
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录前言一、Spring Security是什么？1.认证1.1基于Session认证1.2基于Token认证2.授权3.基于角色访问控制二、OAuth2.0是什么？三、JWT是什么？四、代码实现1.创建Spring Boot项目2.Spring Security实现2.1基本使用2.2 前言 基于Spring Boot项目使用Spring Security+OAuth2.0+JWT搭建用户认证中心。 一、Spring Securi
SpringSecurity+JWT+OAuth2
m0_46219348的博客
12-28 3621
一个简洁的博客网站：http://lss-coding.top，欢迎大家来访 学习娱乐导航页：http://miss123.top/ 1. Spring Security 简介 1.1 概述 什么是安全框架？解决系统安全问题的框架，如果没有安全框架。我们需要手动处理每个资源的访问控制，非常麻烦，使用安全框架，我们可以通过配置的方式实现对资源的访问控制。 1.2 常用安全框架 Spring Security，Spring 家族的成员，是一个能够为基于 Spring 的企业应用系统提供声明式的安全访问控制解.
SpringSecurity+Oauth2+JWT
m0_54765221的博客
07-03 966
SpringSecurity+Oauth2+JWTSpringSecurity+Oauth2+JWT快速入门自定义登入自定义登入成功失败处理器权限判断自定义异常返回自定义方法实现权限控制注解实现权限控制记住我实现退出登入CSRFOauth2认证Oauth2入门授权码模式Oauth2密码模式Jwt入门Oauth2整合JwtJwt扩展存储内容Jwt解析SpringSecurityOauth2整合SSOSecurity+Jwt SpringSecurity+Oauth2+JWT 快速入门 1. 创建基础项目 fi
Spring Cloud Security：Oauth2结合JWT使用
smart_an的专栏
04-18 1380
JWT是JSON WEB TOKEN的缩写，它是基于 RFC 7519 标准定义的一种可以安全传输的的JSON对象，由于使用了数字签名，所以是可信任和安全的。
spring security oauth2.0整合jwt实现登录
weixin_43083853的博客
03-02 1498
本文需要读者具备一定的Oauth2.0相关的技术支持，以下不多阐述登录功能是项目中必不可少的一环，本文以Spring Security Oauth2 + JWT为例实现密码登录，验证码登录和授权码登录获取token并以gateway作为资源服务器统一验证和鉴权的功能。可以用jdk自带的工具keytool生成私钥公钥的文件，即jks证书，再后续的jwt加密方式和token的验证方式需要用到生成方式： 管理员身份打开jdk的bin目录执行一下命令-alias: 别名 -keyalg: 指定密钥的算法 -keyp
SpringSecurity和OAuth2认证授权流程
michael_linux的博客，一个小小小学生。滴水穿石，步步为营，只为那刹那芳华。
04-24 3372
1、SpringSecurity认证授权流程 1.1、SpringSecurity认证流程 1.2、SpringSecurity授权流程 2、SpringSecurityOAuth2认证授权流程 2.1、SpringSecurityOAuth2认证流程 2.2、刷新token（refresh_token）的流程 2.3、SpringSecurityOAuth2授权流程
Spring Security OAuth2入门Demo
诺浅的专栏
11-17 1727
写在前面 项目基于Spring Cloud，需要你对Spring Cloud有所了解，篇幅所限，本文只会列出关键代码，文末会给出完整的项目GIT地址，建议下载下来导入到idea中再进行查看。 项目的目录结构 其中auth-server为认证模块，client-user为资源模块。 auth-server模块配置 首先需要导入oauth2的包 <dependency> <groupId>org.springframework.cloud</groupId>
Spring Security 6.x 系列【31】授权服务器篇之OAuth2AuthorizationService
记录知识、锤炼自我
04-27 1639
在之前文档中，我们完成了授权码、客户端、刷新令牌模式获取访问令牌案例，授权码作为最安全，流程最复杂的授权模式，我们需要深入学习和了解。
spring boot +spring Security+ jwt+oauth2.rar
06-13
下载可以直接运行。使用mysql保存数据。包括数据文件、测试过可以正常使用（API权限可控） 服务器端和客户端样例程序都有
springsecurity整合oauth2+JWT，数据库配置客户端
zifengye520的专栏
07-13 7537
springsecurity整合oauth2+JWT，数据库配置客户端
SpringSecurity整合JWT+Oauth2认证
Mr_Jin的博客
06-21 3240
上一篇文章中基于SpringSecurity已经有了完整的详解，今天这篇文章基于SpringSecurity将Oauth2整合进去。项目依赖： 一：创建所需要的User类，Menu权限类，WebUtils响应工具类（用于异常处理器中），SysResult响应数据工具类 代码如下：User类 权限类 SysResult类 WebUtils工具类 二：实现UserDetailsService类，进行实现自己数据库获取用户信息和权限 创建Mapper，编译xml进行获取用户的信息和权限：
Spring Security OAuth2整合JWT
qq_1149513559的博客
05-28 2887
文章目录         
SpringSecurity OAuth2+JWT+网关实现认证授权中心
我神级欧文的博客
02-17 9507
之前利用SpringSecurity OAuth2搭建了一个认证服务器，并且结合网关搭建了一个安全认证的架构，而这个架构也是有缺点的，很明显的就是用户的信息是通过加在请求头到微服务去取出来的，这样就会容易泄露用户的信息并且很容易被别人截获请求伪造用户信息，而且网关每一次都要请求认证服务器去验证token是否正确，加重了认证服务器的负担。那么这里我们解决这两个问题用的就是jwt。 什么是JWT？ ...
Spring security + Oauth2 + Jwt认证鉴权方案
TylerGuoj的博客
05-20 5305
基础概念 用户身份认证 用户去访问系统资源时系统要求验证用户的身份信息，身份合法方可继续访问。常见的用户身份认证表现形式有：用户名密码登录，指纹打卡等方式 用户授权 用户认证通过后去访问系统的资源，系统会判断用户是否拥有访问资源的权限，只允许访问有权限的系统资源，没有权限的资源将无法访问 http 3xx 重定向状态码 重定向状态码用来告诉浏览器客户端，它们访问的资源已被移动， Web服务器发送一个重定向状态码, 告诉客户端新的资源地址在哪。浏览器客户端会根据提供的地址，重新发送新的Reques
SpringSecurity Oauth2整合JWT
会奔跑的茄子的博客
12-27 1223
JSON Web Token（JWT）是一个开放的行业标准（RFC 7519），它定义了一种简介的、自包含的协议格式，用于在通信双方传递json对象，传递的信息经过数字签名可以被验证和信任。JWT可以使用HMAC算法或使用RSA的公钥/私钥对来签名，防止被篡改。官网：标准：jwt基于json，非常方便解析。可以在令牌中自定义丰富的内容，易扩展。通过非对称加密算法及数字签名技术，JWT防止篡改，安全性高。资源服务使用JWT可不依赖认证服务即可完成授权。JWT令牌较长，占存储空间比较大。
SpringSecurity+JWT认证实现详解
"SpringSecurity+JWT认证流程实现的详解教程，包括SpringSecurity的工作原理、认证流程、JWT令牌的使用，以及示例代码分析。" 在理解SpringSecurity+JWT认证流程实现时，首先要清楚SpringSecurity的核心机制。...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值