详解springSecurity之java配置篇
一 前言
本篇是springSecurity知识的入门第二篇，主要内容是如何使用java配置的方式进行配置springSeciruty，然后通过一个简单的示例自定义登陆页面，覆盖原有springSecurity默认的登陆页面；学习这篇的基础是 知识追寻者之前发布 过 的《springSecurity入门篇》
二 java配置
2.1配置账号密码
如下所示， 使用 @EnableWebSecurity 在配置类上开启security配置功能； 在配置类中定义bean 名为 UserDetailsService, 主要是 负责 设置账号密码，拦截URL，校验成功后重定向至URL；如果要使用多用户，使用 manager.createUser 方法即可；
/**
* @Author lsc
* <p> </p>
*/
@EnableWebSecurity// 开启springSecurity
public class WebSecurityConfig {
/* *
* @Author lsc
* <p> 主要是让SpringSecurity知道springSecurityFilterChain负责管理应用的URL
* 校验，通过账号，密码的方式校验成功后重定向至应用；
* </p>
* @Param []
*/
@Bean
public UserDetailsService userDetailsService() throws Exception {
//
User.UserBuilder users = User.withDefaultPasswordEncoder();
InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
manager.createUser(users.username("user").password("user").roles("USER").build());
manager.createUser(users.username("admin").password("admin").roles("USER","ADMIN").build());
return manager;
}
}
访问 localhost:8080/login 此时输入的密码就是 user , user ； 或者 admin, admin;
2.2 默认授权配置
如下所示 往配置类中 添加 配置类，其 继承 WebSecurityConfigurerAdapter， 重写 configure(HttpSecurity http) 方法， 此方便的作用就是Security 的授权过程，如下示例中，任何的请求都需要认证才可以访问，并且登陆页面还是security自带的登陆页面；
@Configuration
public static class FormLoginWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests(authorize ->
authorize // 授权
.anyRequest() // 任何请求
.authenticated() // 认证认证
)
.formLogin(withDefaults()); //
}
}
2.3 过滤器顺序
再向配置中添加如下配置，其内容和上节内容差不多，但是 拦截的url 是 以/api 为开头的URL， 并且 是 ADMIN 角色才拥有访问权限； 使用@Order(1), 过滤器配置会优先走着条配置，其次才是上节 的配置；
@Configuration
@Order(1)
public static class ApiWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {
protected void configure(HttpSecurity http) throws Exception {
http
.antMatcher("/api/**")
.authorizeRequests(authorize -> authorize
.anyRequest().hasRole("ADMIN")
)
.httpBasic(withDefaults())
.formLogin(withDefaults());
}
}
控制层添加代码如下
@GetMapping("api/login")
public String login(){
return "login";
}
首先使用user用户访问 http://localhost:8080/api/login 账号密码校验成功后跳转应用请求url， 出现禁止页面，原因是user没有ADMIN角色权限；
然后使用admin用户登陆访问 http://localhost:8080/api/login 账号密码校验成功后跳转应用请求url 正常放问；
登陆页面如下
登陆成功后跳转如下
三 自定义登陆页面
3.1 实现自定页面登陆
自定义登陆页面 知识追寻者这边需要引入引擎模板依赖 , thymeleaf; application配置如下
spring: # 引擎模板配置 thymeleaf: cache: false # 关闭缓存 mode: HTML prefix: classpath:/templates/ # 指定 thymeleaf 模板路径 encoding: UTF-8 # 指定字符集编码 mvc: static-path-pattern: /static/** # js ,css 等静态文件路径
然后在templates 下新建 login.html ， 内容如下
<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org">
<head>
<title>Please Log In</title>
</head>
<body>
<h1>Please Log In</h1>
<div th:if="${param.error}">
Invalid username and password.</div>
<div th:if="${param.logout}">
You have been logged out.</div>
<form th:action="@{/login}" method="post">
<div>
<input type="text" name="username" placeholder="Username"/>
</div>
<div>
<input type="password" name="password" placeholder="Password"/>
</div>
<input type="submit" value="Log in" />
</form>
</body>
</html>
springSecurity授权配置内容如下，如下所示，loginPage 配置登陆页面,注意不要带上.html，loginProcessingUrl 配置登陆url，注意这边的url要与 login.html里面的action的url一致，否则会报错；后面就是successForwardUrl 登陆成功后的转发，当然还有登陆失败的转发failureForwardUrl(), 读者按需配置即可；
@Configuration
@Order(1)
public static class ApiWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {
protected void configure(HttpSecurity http) throws Exception {
http
.antMatcher("/**")
.authorizeRequests(authorize -> authorize
.anyRequest().hasRole("USER")
)
.formLogin(form -> {
form
.loginPage("/login") // 配置登陆页
.loginProcessingUrl("/login")
.successForwardUrl("/login/success")// 登陆成功后会转发至 /login/success 请求
.permitAll(); // 允许所有人访问
})
.csrf().disable()
.httpBasic();// http请求方式 ,web 浏览器会弹出对话框
}
}
再将控制层内容替换如下啊，登陆逻辑就是我们请求 /login 会被转发至login.html, 然后action 提交至 /login, 这边已经到springSecurity 内部， 登陆成功后其会转发 至 /login/success;
@GetMapping("/login")
public String login() {
return "login";
}
@PostMapping("/login/success")
@ResponseBody
public String success() {
return "sucess";
}
启动项目，浏览器输入http://localhost:8080/login 或者其它 ip + port + / path 会自动跳转至自定义 登陆页面
输入成功后会跳转的 /login/success ,返回内容如下
3.2 自定义登陆流程分析
来自官网的图片如下，是form表单登陆的流程，
- 首先客户端会发送未授权请求到服务端会被 FilterSecurityInterceptor 拦截标明为未授权的请求，抛出AccessDeniedException；
- ExceptionTranslationFilter 会捕获 AccessDeniedException 异常
- 此时 AuthenticationEntryPoint 会初始化配置流程；
- 捕获异常后并且重定向到登陆页面
- 最后 在登陆页面输入账号密码就会进入认证流程；
3.3 登陆认证流程分析
官网登陆时的认证流程图片如下
- 账号密码输入成功后，UsernamePasswordAuthenticationFilter 就会创建UsernamePasswordAuthenticationToken;
- AuthenticationManager储存着用户的信息，UsernamePasswordAuthenticationToken 会被送至这边进行认证；
- 如果认证失败，SecurityContextHolder（主要是储存认证的数据，principle,credentials,authorities）会被清空， RememberMeServices.loginFail 与 AuthenticationFailureHandler都会被调用；
- 如果登陆成功SessionAuthenticationStrategy 会被唤起重新定制下一次的登陆，认证信息会被储存至SecurityContextHolder,如果配置了remberMe, RememberMeServices.loginSuccess会被调用，ApplicationEventPublisher 会发布InteractiveAuthenticationSuccessEvent，AuthenticationSuccessHandler会被调用；
简单概括就是账号密码输入后进入认证流程，发放token, 在manager中认证，如果认证成功存储认证信息，否则清空认证信息；
四 参考文档
官方文档
到此这篇关于详解springSecurity之java配置篇的文章就介绍到这了,更多相关springSecurity java配置内容请搜索我们以前的文章或继续浏览下面的相关文章希望大家以后多多支持我们！
相关推荐
-
Java开发之spring security实现基于MongoDB的认证功能
本文实例讲述了Java开发之spring security实现基于MongoDB的认证功能.分享给大家供大家参考,具体如下: spring security对基于数据库的认证支持仅限于JDBC,而很多项目并非使用JDBC,比如Nosql数据库很多使用的是 Mongo Java Driver,这样就无法用默认的<jdbc-user-service>进行支持认证. 如果项目不是使用JDBC,没么解决办法就是:自己定义一个认证服务. 新建一个CustomUserDetailsService类 这个类
-
java中Spring Security的实例详解
java中Spring Security的实例详解 spring security是一个多方面的安全认证框架,提供了基于JavaEE规范的完整的安全认证解决方案.并且可以很好与目前主流的认证框架(如CAS,中央授权系统)集成.使用spring security的初衷是解决不同用户登录不同应用程序的权限问题,说到权限包括两部分:认证和授权.认证是告诉系统你是谁,授权是指知道你是谁后是否有权限访问系统(授权后一般会在服务端创建一个token,之后用这个token进行后续行为的交互). spring
-
JavaWeb开发之Spring+SpringMVC+MyBatis+SpringSecurity+EhCache+JCaptcha 完整Web基础框架
简单介绍一下,本框架的基本功能点: Spring:整个框架的主体部分,这个自不用说. SpringMVC:MVC部分我还是比较喜欢Spring的. MyBatis:选型的时候选择这个ORM主要也是考虑其灵活性的问题,毕竟我也不知道,今后会遇到怎样的需求,用Hibernate一来是不太会用,二来,我还是比较喜欢直接写SQL来的简单一点. SpringSecurity:这个主要是安全框架,负责用户登录验证及整站权限分配的相关事项(权限分配真的很有用,这个我就不多说了). EhCache:一个非常流行
-
java中自定义Spring Security权限控制管理示例（实战篇）
背景描述 项目中需要做细粒的权限控制,细微至url + httpmethod (满足restful,例如: https://.../xxx/users/1, 某些角色只能查看(HTTP GET), 而无权进行增改删(POST, PUT, DELETE)). 表设计 为避嫌,只列出要用到的关键字段,其余敬请自行脑补. 1.admin_user 管理员用户表, 关键字段( id, role_id ). 2.t_role 角色表, 关键字段( id, privilege_id ). 3.t_privi
-
Java中SpringSecurity密码错误5次锁定用户的实现方法
Spring Security简介 Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架.它提供了一组可以在Spring应用上下文中配置的Bean,充分利用了Spring IoC,DI(控制反转Inversion of Control ,DI:Dependency Injection 依赖注入)和AOP(面向切面编程)功能,为应用系统提供声明式的安全访问控制功能,减少了为企业系统安全控制编写大量重复代码的工作. 下面看下实例代码: 第
-
详解springSecurity之java配置篇
一 前言 本篇是springSecurity知识的入门第二篇,主要内容是如何使用java配置的方式进行配置springSeciruty,然后通过一个简单的示例自定义登陆页面,覆盖原有springSecurity默认的登陆页面:学习这篇的基础是 知识追寻者之前发布 过 的<springSecurity入门篇> 二 java配置 2.1配置账号密码 如下所示, 使用 @EnableWebSecurity 在配置类上开启security配置功能: 在配置类中定义bean 名为 UserDetails
-
详解 MAC/Linux Vi配置环境变量及Java环境变量配置
详解 MAC/Linux Vi配置环境变量及Java环境变量配置 vi基础 1.vi的基本概念 (1)基本上vi可以分为三种状态,分别是命令模式(command mode).插入模式(Insert mode)和底行模式(last line mode),各模式的功能区分如下: 1) 命令行模式command mode) 控制屏幕光标的移动,字符.字或行的删除,移动复制某区段及进入Insert mode下,或者到 last line mode. 2) 插入模式(Insert mode) 只有在Ins
-
详解SpringBoot Redis自适应配置(Cluster Standalone Sentinel)
核心代码段 提供一个JedisConnectionFactory 根据配置来判断 单点 集群 还是哨兵 @Bean @ConditionalOnMissingBean public JedisConnectionFactory jedisConnectionFactory() { JedisConnectionFactory factory = null; String[] split = node.split(","); Set<HostAndPort> nodes =
-
详解SpringMVC的url-pattern配置及原理剖析
xml里面配置标签: <!DOCTYPE web-app PUBLIC "-//Sun Microsystems, Inc.//DTD Web Application 2.3//EN" "http://java.sun.com/dtd/web-app_2_3.dtd" > <web-app> <display-name>Archetype Created Web Application</display-name> &
-
详解BurpSuite安装和配置
目录 Burp Suite是什么 Burp Suite如何安装 1.配置Java环境 2.安装Burp Suite 破解版下载地址传送门 设置Http代理 拦截请求 Burp Suite是什么 Burp Suite 是用于攻击web 应用程序的集成平台.它包含了许多Burp工具,这些不同的burp工具通过协同工作,有效的分享信息,支持以某种工具中的信息为基础供另一种工具使用的方式发起攻击. 它主要用来做安全性渗透测试,可以实现拦截请求.Burp Spider爬虫.漏洞扫描(付费)等类似Fiddl
-
log4j 详解异步日志的配置和测试
log4j 详解异步日志的配置和测试 日志可以帮助我们分析故障原因,做些数据挖掘的工作.最简单的日志方法,就是自己写个写文件的方法,在需要打日志的时候调用下,但是这显然不可能在实际工程上用.还有个问题,就是频繁地打日志,会增加磁盘I/O,使得系统性能下降.这里用log4j这个库来部署一个含有日志管理的轻量级的系统,主要支持日志的异步写和等级分类的功能,完成最低限度的日志需求. 首先,我们建立一个Maven工程,并且在pom.xml文件里面引入log4j的依赖: <dependency> &l
-
详解使用python3.7配置开发钉钉群自定义机器人(2020年新版攻略)
最近疫情比较严重,很多公司依靠阿里旗下的办公软件钉钉来进行远程办公,当然了,钉钉这个产品真的是让人一言难尽,要多难用有多难用,真的让人觉得阿里的pm都是脑残才会设计出这种脑残产品,不过吐槽归吐槽,该用还得用,虽然钉钉别的功能很鸡肋,但是机器人这个功能还是让人眼前一亮,属于比较极客的功能,它可以将第三方服务的信息聚合到钉钉群中,实现信息的自动化同步,例如:通过聚合Github.Gitlab等源码管理服务,实现源码更新同步:通过聚合Trello.JIRA等项目协调服务,实现项目信息同步:同事,支持W
-
vue相关配置文件详解及多环境配置详细步骤
1.package.json 作用: package.json 文件其实就是对项目或者模块包的描述,里面包含许多元信息.比如项目名称,项目版本,项目执行入口文件,项目贡献者等等.npm install 命令会根据这个文件下载所有依赖模块. 文件结构如下: { "name": "sop-vue", "version": "0.1.0", "author": "zhangsan <zhangsa
-
详解如何将JAVA程序制作成可以直接执行的exe文件
突然心血来潮,想自己做个小程序玩玩,但是怎么把他做成一个exe文件,让大家能够更好的理解和使用呢,百度了一下,说是需要exe4j来生成,但是看了很多关于exe4j将java程序生成exe文件的教程,觉着都不是自己想要的结果,还是自己综合一下,写篇文章记录一下. 下载和安装的步骤我就略过了,直接说重点. 一 : 将写好的java程序打成jar包,如下图: 1: . 2: 3: 4: 5:此处填写MANIFEST.MF文件路径,MANIFEST.MF手动创建后放在下项目路径下即可 MANIFEST.
-
详解如何把Java中if-else代码重构成高质量代码
为什么我们写的代码都是if-else? 程序员想必都经历过这样的场景:刚开始自己写的代码很简洁,逻辑清晰,函数精简,没有一个if-else, 可随着代码逻辑不断完善和业务的瞬息万变:比如需要对入参进行类型和值进行判断:这里要判断下对象是否为null:不同类型执行不同的流程. 落地到具体实现只能不停地加if-else来处理,渐渐地,代码变得越来越庞大,函数越来越长,文件行数也迅速突破上千行,维护难度也越来越大,到后期基本达到一种难以维护的状态. 虽然我们都很不情愿写出满屏if-else的代码,可逻