Spring Security安全框架之记住我功能
目录
- 简介
- 思维逻辑
- 配置和测试
- 数据库创建
- 配置类注入数据源，配置操作数据库对象
- 配置config(HttpSecurity)
- 页面增加记住我选项
- 测试
- 注意事项
- 原理分析
- 代码下载
简介
在一般的网站中，比如Bilibili。当用户登录成功后，关闭浏览器后，下次重新进入网站，可以自动登录。
本次就来探究如何实现这种自动登录、记住我的功能。
思维逻辑
需要实现记住我的功能操作，需要保证具体的实现方式，接下来就来梳理下。
首先，在Security框架中，针对记住我的功能实现，Security框架本身对其做了一定的封装，其实现原理为：
- 浏览器：cookie中存储加密后的数据串
- 数据库：MySQL等数据库中存储
加密后的数据串和用户基本信息数据。
当认证器中，根据客户端传递的cookie值，查询服务器，符合用户基本信息，则自动放行。
配置和测试
数据库创建
本质上是不要创建的，Security框架针对记住我功能的实现，会在数据库不存在表时，org.springframework.security.web.authentication.rememberme.JdbcTokenRepositoryImpl自动创建一个persistent_logins表。
如果想手动创建，可以执行下列sql进行表的创建：
CREATE TABLE persistent_logins ( username VARCHAR ( 64 ) NOT NULL, series VARCHAR ( 64 ) PRIMARY KEY, token VARCHAR ( 64 ) NOT NULL, last_used TIMESTAMP NOT NULL );
配置类注入数据源，配置操作数据库对象
import org.springframework.security.web.authentication.rememberme.JdbcTokenRepositoryImpl;
import org.springframework.security.web.authentication.rememberme.PersistentTokenRepository;
import javax.sql.DataSource;
/**
* 注入数据源(记住我)
*/
@Autowired
private DataSource dataSource;
/**
* 配置操作数据库对象
* @return
@Bean
public PersistentTokenRepository persistentTokenRepository(){
JdbcTokenRepositoryImpl jdbcTokenRepository = new JdbcTokenRepositoryImpl();
jdbcTokenRepository.setDataSource(dataSource);
jdbcTokenRepository.setCreateTableOnStartup(true); // 如果没有配置记住我的数据表，则自动生成
return jdbcTokenRepository;
}
配置config(HttpSecurity)
.and() .rememberMe().tokenRepository(persistentTokenRepository()) // 配置记住我的功能，同时增加查询数据库 cookie 值 .tokenValiditySeconds(60) // 设置cookie的有效时间(秒为单位) .userDetailsService(mySecurityService) // 查询数据库
页面增加记住我选项
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Title</title>
</head>
<body>
<form action="/user/login" method="post">
用户名：<input type="text" name="username" /><br/>
密码：<input type="text" name="password" /><br/>
<input type="checkbox" name="remember-me" title="记住我" />自动登录<br/>
<input type="submit" value="login" /><br/>
</form>
</body>
</html>
主要代码为：
<input type="checkbox" name="remember-me" title="记住我" />自动登录<br/>
【注意：】name="remember-me" 这是固定写法，否则无法识别！
测试
重启服务器，请求需要被认证的url：
http://localhost/login.html
关闭浏览器，重新打开，重新请求：
http://localhost/loginSuccess.html
注意事项
由于数据库本身未创建 persistent_logins表，只是在配置类中申明创建表：
此时数据库中，可以看到已存在表信息：
此处需要注意的是，如果配置了自动创建表，如果已存在指定的表，启动会报错！
原理分析
1、浏览器请求服务器时，会先经过UsernamePasswordAuthenticationFilter进行认证操作
2、如果UsernamePasswordAuthenticationFilter认证成功，会调用其父类 AbstractAuthenticationProcessingFilter中的doFilter方法。
3、最终执行this.successfulAuthentication(request, response, chain, authResult)。
即org.springframework.security.web.authentication.rememberme.AbstractRememberMeServices中的loginSuccess方法。
然后在org.springframework.security.web.authentication.rememberme.PersistentTokenBasedRememberMeServices#onLoginSuccess中做以下操作：
4、将生成的新的token信息，存储于数据表中，并且也存储在浏览器 cookie 中。
5、当浏览器关闭，下次登录时，会根据之前设定的remember-me信息，在org.springframework.security.web.authentication.rememberme.RememberMeAuthenticationFilter中对其验证！
代码下载
springboot-security-09-rememberMe
到此这篇关于Spring Security安全框架之记住我的文章就介绍到这了,更多相关Spring Security记住我内容请搜索我们以前的文章或继续浏览下面的相关文章希望大家以后多多支持我们！
相关推荐
-
Spring security实现记住我下次自动登录功能过程详解
一.原理分析 第一次登陆时,如果用户勾选了readme选项,登陆成功后springsecurity会生成一个cookie返回给浏览器端,浏览器下次访问时如果携带了这个cookie,springsecurity就会放行这次访问. 二.实现方式 2.1 简单实现方式 (1) 在springsecurity的配置文件中,http节点下增加一个remember-me配置 <security:http auto-config="true" use-expressions="fal
-
Springboot安全框架整合SpringSecurity实现方式
目录 1.工业级安全框架介绍 2.建议搭建Spring Security环境 2.1在pom.xml中添加相关依赖 2.2创建Handler类 2.3创建简单的html和配置相关thymeleaf的路径 2.4最后再加个启动类,那么我们的整合测试就完成勒 2.5成果展示 用户名默认user,密码则随机生成的这串数字 3.进阶版使用 3.1用户名和密码自定义 3.2在config包下创建Encoder进行密码的校验和转码操作 3.3赋予账号角色权限 1.工业级安全框架介绍 Spring Secur
-
SpringBoot整合Security安全框架实现控制权限
目录 一.前言 介绍: 官网: 优缺点: 案例: 二.环境准备 2.1.数据库表 2.2.导入依赖 2.3.配置文件 2.4.WebSecurityConfig Security的主要配置类: 2.5.Security身份验证 2.6.Security授权 2.7.UserDetailsService 2.7.MacLoginUrlAuthenticationEntryPoint 2.8.MyAccessDeniedHandler 2.9.MyLogoutSuccessHandler 2.10.
-
Spring Security 构建rest服务实现rememberme 记住我功能
Spring security记住我基本原理: 登录的时候,请求发送给过滤器UsernamePasswordAuthenticationFilter,当该过滤器认证成功后,会调用RememberMeService,会生成一个token,将token写入到浏览器cookie,同时RememberMeService里边还有个TokenRepository,将token和用户信息写入到数据库中.这样当用户再次访问系统,访问某一个接口时,会经过一个RememberMeAuthenticationFilt
-
Spring Security实现两周内自动登录"记住我"功能
本文是Spring Security系列中的一篇.在上一篇文章中,我们通过实现UserDetailsService和UserDetails接口,实现了动态的从数据库加载用户.角色.权限相关信息,从而实现了登录及授权相关的功能.这一节就在此基础上新增,登录过程中经常使用的"记住我"功能,也就是我们经常会在各种网站登陆时见到的"两周内免登录","三天内免登录"的功能.该功能的作用就是:当我们登录成功之后,一定的周期内当我们再次访问该网站,不需要重新登
-
Spring Security 实现“记住我”功能及原理解析
这章继续扩展功能,来一个"记住我"的功能实现,就是说用户在登录一次以后,系统会记住这个用户一段时间,这段时间内用户不需要重新登录就可以使用系统. 记住我功能基本原理 原理说明 用户登录发送认证请求的时候会被UsernamePasswordAuthenticationFilter认证拦截,认证成功以后会调用一个RememberMeService服务,服务里面有一个TokenRepository,这个服务会生成一个Token,然后将Token写入到浏览器的Cookie同时会使用TokenR
-
Spring Security安全框架之记住我功能
目录 简介 思维逻辑 配置和测试 数据库创建 配置类注入数据源,配置操作数据库对象 配置config(HttpSecurity) 页面增加记住我选项 测试 注意事项 原理分析 代码下载 简介 在一般的网站中,比如Bilibili.当用户登录成功后,关闭浏览器后,下次重新进入网站,可以自动登录. 本次就来探究如何实现这种自动登录.记住我的功能. 思维逻辑 需要实现记住我的功能操作,需要保证具体的实现方式,接下来就来梳理下. 首先,在Security框架中,针对记住我的功能实现,Security框架
-
Java开发之spring security实现基于MongoDB的认证功能
本文实例讲述了Java开发之spring security实现基于MongoDB的认证功能.分享给大家供大家参考,具体如下: spring security对基于数据库的认证支持仅限于JDBC,而很多项目并非使用JDBC,比如Nosql数据库很多使用的是 Mongo Java Driver,这样就无法用默认的<jdbc-user-service>进行支持认证. 如果项目不是使用JDBC,没么解决办法就是:自己定义一个认证服务. 新建一个CustomUserDetailsService类 这个类
-
Spring Security 实现短信验证码登录功能
之前文章都是基于用户名密码登录,第六章图形验证码登录其实还是用户名密码登录,只不过多了一层图形验证码校验而已:Spring Security默认提供的认证流程就是用户名密码登录,整个流程都已经固定了,虽然提供了一些接口扩展,但是有些时候我们就需要有自己特殊的身份认证逻辑,比如用短信验证码登录,它和用户名密码登录的逻辑是不一样的,这时候就需要重新写一套身份认证逻辑. 开发短信验证码接口 获取验证码 短信验证码的发送获取逻辑和图片验证码类似,这里直接贴出代码. @GetMapping("/code/
-
Spring Security 安全框架应用原理解析
Spring Security 简介 背景分析 企业中数据是最重要的资源,对于这些数据而言,有些可以直接匿名访问,有些只能登录以后才能访问,还有一些你登录成功以后,权限不够也不能访问.总之这些规则都是保护系统资源不被破坏的一种手段.几乎每个系统中都需要这样的措施对数据(资源)进行保护.我们通常会通过软件技术对这样业务进行具体的设计和实现.早期没有统一的标准,每个系统都有自己独立的设计实现,但是对于这个业务又是一个共性,后续市场上就基于共享做了具体的落地实现,例如Spring Security,A
-
Spring Security基于过滤器实现图形验证码功能
目录 前言 一. 验证码简介 二. 基于过滤器实现图形验证码 1. 实现概述 2. 创建新模块 3. 添加依赖包 4. 创建Producer对象 5. 创建生成验证码的接口 6. 自定义异常 7. 创建拦截验证码的过滤器 8. 编写SecurityConfig 9. 编写测试页面 10. 代码结构 11. 启动项目测试 前言 在前两个章节中,一一哥 带大家学习了Spring Security内部关于认证授权的核心API,以及认证授权的执行流程和底层原理.掌握了这些之后,对于Spring Secu
-
Spring Security使用单点登录的权限功能
目录 背景 Spring Security 实现 已经有了单点登录页面,Spring Security怎么登录,不登录可以拿到权限吗 Authentication 继续分析 结论 如何手动登录Spring Security 结论 总结 附 参考 背景 在配置中心增加权限功能 目前配置中心已经包含了单点登录功能,可以通过统一页面进行登录,登录完会将用户写入用户表 RBAC的用户.角色.权限表CRUD.授权等都已经完成 希望不用用户再次登录,就可以使用SpringSecurity的权限控制 Spri
-
Spring Security基于散列加密方案实现自动登录功能
目录 前言 一. 自动登录简介 1. 为什么要自动登录 2. 自动登录的实现方案 二. 基于散列加密方案实现自动登录 1. 配置加密令牌的key 2. 配置SecurityConfig类 3. 添加测试接口 4. 启动项目测试 三. 散列加密方案实现原理 1. cookie的加密原理分析 2. cookie的解码原理分析 3. 自动登录的源码分析 3.1 令牌生成的源码分析 3.2 令牌解析的源码分析 前言 在前面的2个章节中,一一哥 带大家实现了在Spring Security中添加图形验证码
-
SpringBoot集成Spring Security的方法
至今Java能够如此的火爆Spring做出了很大的贡献,它的出现让Java程序的编写更为简单灵活,而Spring如今也形成了自己的生态圈,今天咱们探讨的是Spring旗下的一个款认证工具:SpringSecurity,如今认证框架主流"shiro"和"SpringSecurity",由于和Spring的无缝衔接,使用SpringSecurity的企业也越来越多. 1.Spring Security介绍 Spring security,是一个强大的和高度可定制的身份验
-
详解最简单易懂的Spring Security 身份认证流程讲解
最简单易懂的Spring Security 身份认证流程讲解 导言 相信大伙对Spring Security这个框架又爱又恨,爱它的强大,恨它的繁琐,其实这是一个误区,Spring Security确实非常繁琐,繁琐到让人生厌.讨厌也木有办法呀,作为JavaEE的工程师们还是要面对的,在开始之前,先打一下比方(比方好可怜): Spring Security 就像一个行政服务中心,如果我们去里面办事,可以办啥事呢?可以小到咨询简单问题.查询社保信息,也可以户籍登记.补办身份证,同样也可以大到企业事
-
Spring Security学习之rememberMe自动登录的实现
前言 自动登录是将用户的登录信息保存在用户浏览器的cookie中,当用户下次访问时,自动实现校验并建立登录态的一种机制. Spring Security提供了两种非常好的令牌: 散列算法加密用户必要的登录信息并生成令牌 数据库等持久性数据存储机制用的持久化令牌 散列加密方案 在Spring Security中加入自动登录的功能非常简单: @Override protected void configure(HttpSecurity http) throws Exception { http.au