spring security简单教程以及实现完全前后端分离

最新推荐文章于 2024-10-25 14:33:17 发布

IT自学妹

最新推荐文章于 2024-10-25 14:33:17 发布

阅读量713

点赞数

分类专栏： Java 文章标签： spring java 前端前后端分离 Java高级 Powered by 金山文档

本文链接：https://blog.csdn.net/wshyb0314/article/details/129042524

版权

本文介绍了Spring Security作为一个安全框架的基础用法，包括简单的认证和授权管理。在前后端分离的场景下，针对登录和权限控制的问题，提出了通过返回特定HTTP状态码和JSON数据来处理登录与未授权的情况。文中还提到了视频教程和相关电子书籍的推荐，适合Spring Boot开发者学习。

摘要由CSDN通过智能技术生成

简单教程

spring security是spring家族的一个安全框架，入门简单。对比shiro，它自带登录页面，自动完成登录操作。权限过滤时支持http方法过滤。

在新手入门使用时，只需要简单的配置，即可实现登录以及权限的管理，无需自己写功能逻辑代码。

但是对于现在大部分前后端分离的web程序，尤其是前端普遍使用ajax请求时，spring security自带的登录系统就有一些不满足需求了。

因为spring security有自己默认的登录页，自己默认的登录控制器。而登录成功或失败，都会返回一个302跳转。登录成功跳转到主页，失败跳转到登录页。如果未认证直接访问也会跳转到登录页。但是如果前端使用ajax请求，ajax是无法处理302请求的。前后端分离web中，规范是使用json交互。我们希望登录成功或者失败都会返回一个json。况且spring security自带的登录页太丑了，我们还是需要使用自己的。

spring security一般简单使用：

web的安全控制一般分为两个部分，一个是认证，一个是授权。

认证管理：

就是认证是否为合法用户，简单的说是登录。一般为匹对用户名和密码，即认证成功。

在spring security认证中，我们需要注意的是：哪个类表示用户？哪个属性表示用户名？哪个属性表示密码？怎么通过用户名取到对应的用户？密码的验证方式是什么？

只要告诉spring security这几个东西，基本上就可以了。

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

}

事实上只要继承WebSecurityConfigurerAdapter ，spring security就已经启用了，当你访问资源时，它就会跳转到它自己默认的登录页。但是这还不行，

当用户点击登录时，

1.它会拿到用户输入的用户名密码；

2.根据用户名通过UserDetailsService 的 loadUserByUsername(username)方法获得一个用户对象；

3.获得一个UserDetails 对象，获得内部的成员属性password；

4.通过PasswordEncoder 的 matchs(s1, s2) 方法对比用户的输入的密码和第3步的密码；

5.匹配成功；

所以我们要实现这三个接口的三个方法：