springSercurity主要用于认证授权的,就是检验用户密码是是否正确,是否有权限操作某资源这样子,之前没接触过,目前只会用简单的控制权限,里面核心类,什么的都不太了解,以下为我了解的基本入门使用
1,导入依赖,spring-security-taglibs是用于前端页面标签的
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-config</artifactId>
<version>${spring.security.version}</version>
</dependency>
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-core</artifactId>
<version>${spring.security.version}</version>
</dependency>
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-taglibs</artifactId>
<version>${spring.security.version}</version>
</dependency>
2,在web.xml中配置springSecurity的过滤器,并且让ServletContext容器加载配置文件,这里过滤器名字必须为springSecurityFilterChain,底层源码原因
<context-param>
<param-name>contextConfigLocation</param-name>
<param-value>classpath:applicationContext.xml,classpath:spring_security.xml</param-value>
</context-param>
<filter>
<filter-name>springSecurityFilterChain</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
<filter-name>springSecurityFilterChain</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
3,配置文件spring_security.xml,配置文件主要包括两部分
过滤器链配置
,主要包括要拦截什么资源,
能操作该拦截资源的权限信息
认证方式,表单和弹出提示框形式
或者自己指定一个登录页面
认证管理器
,包括账户名密码,和其具有的权限
不连接数据库,不指定自己的登录页面,单纯将用户信息存放在配置文件
<!--配置静态资源不过滤,登录页不过滤这样子-->
<security:http pattern="/login.jsp" security="none"/>
<security:http pattern="/pages/loginFailure.jsp" security="none"/>
<securtiy:http pattern="/css/**" security="none"/>
<security:http pattern="/img/**" security="none"/>
<security:http pattern="/plugins/**" security="none"/>
<security:http auto-config="true" use-expressions="true">
<!--当前所有资源都需要过滤,只有有role_user的权限才能访问-->
<security:intercept-url pattern="/**" access="hasRole('ROLE_USER')"/>
<!--配置这两个资源可以被任何人访问,与上面效果相同-->
<!--<security:intercept-url pattern="/index.jsp" access="permitAll()"/>
<security:intercept-url pattern="/pages/error.jsp" access="permitAll()"/>
-->
<!---关闭防CSRF攻击,跨站攻击-->
<security:csrf disabled="true"/>
</security:http>
<!--将用户名和密码存在配置文件中,实际开发中不怎么用-{noop},一种加密方式,若是我们指定加密方式就不需要再这写了->
<security:authentication-manager>
<security:authentication-provider>
<security:user-service>
<security:user name="root" password="{noop}root" authorities="ROLE_USER"/>
</security:user-service>
</security:authentication-provider>
</security:authentication-manager>
配置使用自己的登录页面,以及连接数据库中用户
拦截器链配置,以及认证管理器
<!--过滤静态资源-->
<security:http pattern="/pages/login.jsp" security="none"/>
<security:http pattern="/pages/loginFailure.jsp" security="none"/>
<securtiy:http pattern="/css/**" security="none"/>
<security:http pattern="/img/**" security="none"/>
<security:http pattern="/plugins/**" security="none"/>
<!--配置过滤器链,包括要拦截的资源,什么角色能访问资源,认证方式,登录页面-->
<!--auto-config="true"框架提供默认登录页面,当配置自己的登录页面之后,使用自己的
use-expressions="false" 是否使用SPEL表达式-->
<security:http auto-config="true" use-expressions="true">
<!-- pattern表示拦截的路径,/**表示拦截所有的访问,access表示什么角色能访问,这里是必须有user_admin角色才能访问-->
<security:intercept-url pattern="/**" access="hasAnyRole('ROLE_ADMIN','ROLE_USER')"/>
<!--定义自己的登录页面-->
<security:form-login
<!--登录页面-->
login-page="/pages/login.jsp"
<!--登录调转的路径-->
login-processing-url="/login"
<!--登录成功跳转的页面-->
default-target-url="/index.jsp"
always-use-default-target="true"
<!--登录失败调转的页面-->
authentication-failure-url="/pages/loginFailure.jsp"
/>
<!--关闭跨域请求,不关闭会报错403-->
<security:csrf disabled="true"/>
<!--退出-->
<security:logout
logout-url="/logout.do"
logout-success-url="/pages/login.jsp"
invalidate-session="true"
/>
</security:http>
<!--配置认证管理器,认证信息,包括用户名,密码,以及权限,
这里会默认找UserDetailsService进行处理,让我们自己的service实现这个接口-->
<security:authentication-manager>
<security:authentication-provider user-service-ref="userService">
<security:password-encoder ref="passwordEncoder"/>
</security:authentication-provider>
</security:authentication-manager>
<!--加密方式-->
<bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>
当有登录请求之后springSecurity会默调用UserDetialService,一个接口中loadUserByUsername方法来处理账认证信息,我们需要重写这个方法,那么让我们service接口继承UserDetialService,在service实现类中重写这个方法即可,这个方法返回一个UserDetails对象
public interface UserDetailsService {
UserDetails loadUserByUsername(String username)
throws UsernameNotFoundException;
}
UserDetails也是一个接口,里面有封装了用户登录的用户信息,那么我们要让我们从数据库中查询的对象和UserDetials产生关系,UserDetials是一个接口,我们又不能直接创建,有两种解决方案,
(1),创建UserDetials的子类,将我们从数据库中查到的信息封装到UserDetials子类
(2),让我们创建的bean实现UserDetials,但是这样及其麻烦
UserDetials实现类,这里只有一个User子类可用,点进去可以发现,里面提供所有属性getXXX,setXXX方法,还有两个构造函数,我们直接创建一个user对象,将我们查询到的用户信息封装进去即可
public class User implements UserDetails, CredentialsContainer {
private static final long serialVersionUID = SpringSecurityCoreVersion.SERIAL_VERSION_UID;
// ~ Instance fields
// ================================================================================================
private String password;
private final String username;
private final Set<GrantedAuthority> authorities;
private final boolean accountNonExpired;
private final boolean accountNonLocked;
private final boolean credentialsNonExpired;
private final boolean enabled;
// ~ Constructors
// ===================================================================================================
/**
* Calls the more complex constructor with all boolean arguments set to {@code true}.
*/
public User(String username, String password,
Collection<? extends GrantedAuthority> authorities) {
this(username, password, true, true, true, true, authorities);
}
public User(String username, String password, boolean enabled,
boolean accountNonExpired, boolean credentialsNonExpired,
boolean accountNonLocked, Collection<? extends GrantedAuthority> authorities) {
if (((username == null) || "".equals(username)) || (password == null)) {
throw new IllegalArgumentException(
"Cannot pass null or empty values to constructor");
}
this.username = username;
this.password = password;
this.enabled = enabled;
this.accountNonExpired = accountNonExpired;
this.credentialsNonExpired = credentialsNonExpired;
this.accountNonLocked = accountNonLocked;
this.authorities = Collections.unmodifiableSet(sortAuthorities(authorities));
}
// ~ Methods
// ========================================================================================================
public Collection<GrantedAuthority> getAuthorities() {
return authorities;
}
}
封装private final Set authorities属性
看User里面直接有一个getAuthorities()方法,我们可以模拟一下,在自己的service里面定义一个public List<GrantedAuthority> getAuthority(List<Role> roles)
方法,
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
UserInfo userInfo=userDao.findByName(username);
User user=new User(userInfo.getUserName(),userInfo.getPassWord(),
userInfo.getStatus()==0?false:true,true,true,true,
this.getAuthority(userInfo.getRoles()));
return user;
}
public List<GrantedAuthority> getAuthority(List<Role> roles){
List<GrantedAuthority> list=new ArrayList<>();
for (Role role : roles) {
list.add(new
/*这里不加role也可,可以直接role.getRoleName()
,但是我担心大小写有问题就直接转换一些了*/
SimpleGrantedAuthority("ROLE_"+role.getRoleName().toUpperCase()));
}
return list;
}
4,配置<security:authentication-provider user-service-ref=“userService”>,userService为自己的实现类
这样大概就完成配置了,可以控制基本权限了
============================================================
细节
1,加密方式BCryptPasswordEncoder
,好像要比MD5更安全
(1),登录直接配置一个bean,注入就好了
<security:authentication-manager>
<security:authentication-provider user-service-ref="userService">
<security:password-encoder ref="passwordEncoder"/>
</security:authentication-provider>
</security:authentication-manager>
<bean id="passwordEncoder"
class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>
(2),添加的时候要对密码加密再添加不然登录的时候密码不正确,在service实现类中注入我们刚才配置的bean,调用其oncoding方法即可
@Autowired
private BCryptPasswordEncoder passwordEncoder;
@Override
public void save(UserInfo user) throws Exception {
user.setPassWord(passwordEncoder.encode(user.getPassWord()));
userDao.save(user);
}
2,以上配置比如<security:intercept-url pattern="/**" access="hasAnyRole('ROLE_ADMIN','ROLE_USER')"/>
这都是一个全局的权限控制,那么我们要对某一方法控制也有很多方式,发现一个博主总结的比较全
https://blog.csdn.net/adsadadaddadasda/article/details/82623914
在学习过程中我主要就试了注解和切入点的,
(1),使用pointcut定义方法权限控制,其他任何配置和上相同,单独在配置文件加切入点即可,这里我验证的是只有第一个起作用,其他不起作用的,我见官网上也是这样说的
<!--表中多个匹配的话将会使用第一个匹配的安全注解,比切入点有更高的优点级-->
<security:global-method-security>
<security:protect-pointcut expression="execution(* com.zwp.service.impl.*.find*(..))" access="ROLE_ADMIN"/>
<security:protect-pointcut expression="execution(* com.zwp.service.impl.*.*(..))" access="ROLE_MANAGER"/>
</security:global-method-security>
(2),方法级别控制权限,基于注解,有3种方式,JSR-250注解,@Secured注解, 支持表达式的注解,默认均不开启,需要自己开启
开启支持注解,我见视屏上在SpringSecurity.xml中开启,
但是我试了好多次没有用,但是我在springMVC.xml开启是有效的,
这个点还不知道是不是应为我哪配置的不对,我是将注解加载controller的
<security:global-method-security
pre-post-annotations="enabled"
jsr250-annotations="enabled"
secured-annotations="enabled">
</security:global-method-security>
1=================JSR-250注解(需要导入依赖)
导入依赖
<dependency>
<groupId>javax.annotation</groupId>
<artifactId>jsr250-api</artifactId>
<version>1.0</version>
</dependency>
在controller方法上加上,例如这里写如下,表示只有用户具有user或者admin角色才能操作save(方法),这里USER,ADMIN,前面的ROLE是可以省略的
@RolesAllowed("USER,ADMIN")
public void save(UserInfo user) throws Exception {
user.setPassWord(passwordEncoder.encode(user.getPassWord()));
userDao.save(user);
}
这里除了 @RolesAllowed还要 @PermitAll(任何人都能访问)@DenyAll(不让任何人访问),意义不大
2=================@Secured注解,springSecurity默认支持,不需要导入依赖,与JSR-250相似@Secured("ROLE_USER,ROLE_ADMIN"),这里不能省略,千万不能省略
@Secured("ROLE_USER,ROLE_ADMIN")
public void save(UserInfo user) throws Exception {
user.setPassWord(passwordEncoder.encode(user.getPassWord()));
userDao.save(user);
}
3=================@支持表达式注解,主要@PreAuthorize、@PostAuthorize、@PreFilter和@PostFilter,但是最常用的只有第一个,而且这个取值非常非常灵活
一下为常见表示
hasRole([role]) 当前用户是否拥有指定角色。
hasAnyRole([role1,role2]) 多个角色是一个以逗号进行分隔的字符串。如果当前用户拥有指定角色中的任意一个则返回true。
hasAuthority([auth]) 等同于hasRole
hasAnyAuthority([auth1,auth2]) 等同于hasAnyRole
Principle 代表当前用户的principle对象
authentication 直接从SecurityContext获取的当前Authentication对象
permitAll 总是返回true,表示允许所有的
denyAll 总是返回false,表示拒绝所有的
isAnonymous() 当前用户是否是一个匿名用户
isRememberMe() 表示当前用户是否是通过Remember-Me自动登录的
isAuthenticated() 表示当前用户是否已经登录认证成功了。
isFullyAuthenticated() 如果当前用户既不是一个匿名用户,同时又不是通过Remember-Me自动登录的,则返回true。
而且还支持什么算数逻辑运算符之类的,比如这个表示当前用户名为aaa能操作
@PreAuthorize("principal.username.equals('aaa')")
(3),在jsp页面使用,导入标签依赖,然后再页面引入标签库,
<%@taglib prefix="s" uri="http://www.springframework.org/security/tags" %>
有这么5个标签,
常用2个
authorize控制页面内容显示,一下表示当前用户具有admin角色,标签内内容才显示
<s:authorize access="ADMIN"></s:authorize>
authentication 表示当前用户,用户显示当前用户信息
<p><s:authentication property="principal.username"/></p>
嗯嗯嗯嗯嗯,大概就掌握这么多了,只是会简单的控制下权限,要想使用好还要研究很多很多很多-------