Spring Security框架进阶、自定义登录
1.spring security框架进阶
1.1 spring security简介
spring security是一个能够为基于spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在spring应用上下文中配置的bean，充分利用了spring ioc，di（控制反转inversion of control ,di:dependency injection 依赖注入）和aop（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。
1.2 spring security入门小demo
1.2.1最简单demo
（1）创建工程spring-security-demo ,pom.xml内容
|
<properties> <spring.version>4.2.4.release</spring.version> </properties> <dependencies> <dependency> <groupid>org.springframework</groupid> <artifactid>spring-core</artifactid> <version>${spring.version}</version> </dependency> <dependency> <groupid>org.springframework</groupid> <artifactid>spring-web</artifactid> <version>${spring.version}</version> </dependency> <dependency> <groupid>org.springframework</groupid> <artifactid>spring-webmvc</artifactid> <version>${spring.version}</version> </dependency> <dependency> <groupid>org.springframework</groupid> <artifactid>spring-context-support</artifactid> <version>${spring.version}</version> </dependency> <dependency> <groupid>org.springframework</groupid> <artifactid>spring-test</artifactid> <version>${spring.version}</version> </dependency> <dependency> <groupid>org.springframework</groupid> <artifactid>spring-jdbc</artifactid> <version>${spring.version}</version> </dependency> <dependency> <groupid>org.springframework.security</groupid> <artifactid>spring-security-web</artifactid> <version>4.1.0.release</version> </dependency> <dependency> <groupid>org.springframework.security</groupid> <artifactid>spring-security-config</artifactid> <version>4.1.0.release</version> </dependency> <dependency> <groupid>javax.servlet</groupid> <artifactid>servlet-api</artifactid> <version>2.5</version> <scope>provided</scope> </dependency> </dependencies> <build> <plugins> <!-- java编译插件 --> <plugin> <groupid>org.apache.maven.plugins</groupid> <artifactid>maven-compiler-plugin</artifactid> <version>3.2</version> <configuration> <source>1.7</source> <target>1.7</target> <encoding>utf-8</encoding> </configuration> </plugin> <plugin> <groupid>org.apache.tomcat.maven</groupid> <artifactid>tomcat7-maven-plugin</artifactid> <configuration> <!-- 指定端口 --> <port>9090</port> <!-- 请求路径 --> <path>/</path> </configuration> </plugin> </plugins> </build> |
（2）创建web.xml
|
<?xml version="1.0" encoding="utf-8"?> <web-app xmlns:xsi="http://www.w3.org/2001/xmlschema-instance" xmlns="http://java.sun.com/xml/ns/javaee" xsi:schemalocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd" version="2.5"> <context-param> <param-name>contextconfiglocation</param-name> <param-value>classpath:spring-security.xml</param-value> </context-param> <listener> <listener-class> org.springframework.web.context.contextloaderlistener </listener-class> </listener> <filter> <filter-name>springsecurityfilterchain</filter-name> <filter-class>org.springframework.web.filter.delegatingfilterproxy</filter-class> </filter> <filter-mapping> <filter-name>springsecurityfilterchain</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> </web-app> |
（3）创建index.html
|
<!doctype html> <html> <head> <meta charset="utf-8"> <title>首页</title> </head> <body> 欢迎进入神奇的spring security世界~~~ </body> </html> |
（4）创建spring 配置文件spring-security.xml
<?xml version="1.0" encoding="utf-8"?>
<beans:beans
xmlns="http://www.springframework.org/schema/security"
xmlns:beans="http://www.springframework.org/schema/beans"
xmlns:xsi="http://www.w3.org/2001/xmlschema-instance"
xmlns:dubbo="http://code.alibabatech.com/schema/dubbo"
xsi:schemalocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
http://code.alibabatech.com/schema/dubbo http://code.alibabatech.com/schema/dubbo/dubbo.xsd
http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">
<http pattern="/*.html" security="none"/>
<http pattern="/css/**" security="none"/>
<http pattern="/img/**" security="none"/>
<http pattern="/js/**" security="none"/>
<http pattern="/plugins/**" security="none"/>
<http pattern="/seller/add.do" security="none"/>
<!-- use-expressions:设置是否启动spel表达式，默认值是true。 -->
<http use-expressions="false">
<!--
配置springsecurity的拦截路径（拦截规则）
* pattern:配置拦截规则。 /* 代表的是根路径下的所有资源（不包含子路径） /**代表的是根路径下所有的资源（包含子路径）
* access:设置角色 角色命名 role_角色名称 如： role_user
-->
<intercept-url pattern="/**" access="role_seller"/>
<!--
开启表单验证
username-parameter="username"
password-parameter="password"
login-page :登录页面名称 以 / 开始
default-target-url :登录成功后跳转的页面
login-processing-url:提交的路径的设置 默认值"/login" 可以修改
-->
<form-login login-page="/login.html" default-target-url="/admin/index.html" always-use-default-target="true" authentication-failure-url="/login.html"/>
<!-- 不使用csrf的校验 -->
<csrf disabled="true"/>
<!-- 配置框架页面不拦截 -->
<headers>
<frame-options policy="sameorigin"/>
</headers>
<!-- 注销的配置 -->
<logout logout-url="/logout" logout-success-url="/shoplogin.html" />
</http>
<!-- 配置认证管理器 -->
<authentication-manager>
<!-- 认证的提供者 -->
<authentication-provider user-service-ref="userdetailsservice">
</authentication-provider>
</authentication-manager>
<!-- 配置自定义的认证类 -->
<beans:bean id="userdetailsservice" class="com.luli.code.service.userdetailsserviceimpl">
<beans:property name="sellerservice" ref="sellerservice"></beans:property>
</beans:bean>
</beans:beans>
因为登录页会被反复重定向。
login-page：指定登录页面。
authentication-failure-url：指定了身份验证失败时跳转到的页面。
default-target-url：指定了成功进行身份验证和授权后默认呈现给用户的页面。
csrf disabled="true" 关闭csrf ,如果不加会出现错误
csrf（cross-site request forgery）跨站请求伪造，也被称为“one click attack”或者session riding，通常缩写为csrf或者xsrf，是一种对网站的恶意利用。
|
idea启动tomcat显示build success但无法继续启动的解决方法
<plugin>
告诉tomcat插件，当前不是使用war包装。在pom.xml的tomcat plugin的configuration中加入<ignorepackaging>true</ignorepackaging>，即告诉tomcat启动时忽略当前是否有war包，再次运行tomcat7:run命令，tomcat即可正常启动。 |
access="role_user" access 必须是role_开头
此案例我们没有登录页，而是使用了系统自动生成的登陆页，效果如下：
配置说明：
intercept-url 表示拦截页面
/* 表示的是该目录下的资源，只包括本级目录不包括下级目录
/** 表示的是该目录以及该目录下所有级别子目录的资源
form-login 为开启表单登陆
use-expressions 为是否使用使用 spring 表达式语言（ spel ），默认为true ,如果开启，则拦截的配置应该写成以下形式
login-processing-url=”/login2” 指定其他登录页
username-parameter="" password-parameter="" 来改写login的 用户名和属性名
|
<intercept-url pattern="/**" access="hasrole('role_user')" /> |
（5）构建登陆页login.html：
|
<!doctype html> <html> <head> <meta charset="utf-8"> <title>登陆</title> </head> <body>
--欢迎的登陆我的系统-- <form action="/login" method="post"> 用户名：<input name="username"><br> 密码：<input name="password"><br> <button>登陆</button> </form> </body> </html> |
（6）构建登陆失败页 login_error.html
|
<!doctype html> <html> <head> <meta charset="utf-8"> <title>首页</title> </head> <body> 用户名或密码错误~~~ </body> </html> |
(7) userdetailsserviceimpl.java文件
package com.luli.code.service;
import com.luli.code.pojo.seller;
import org.springframework.security.core.grantedauthority;
import org.springframework.security.core.authority.simplegrantedauthority;
import org.springframework.security.core.userdetails.user;
import org.springframework.security.core.userdetails.userdetails;
import org.springframework.security.core.userdetails.userdetailsservice;
import org.springframework.security.core.userdetails.usernamenotfoundexception;
import java.util.arraylist;
import java.util.list;
public class userdetailsserviceimpl implements userdetailsservice {
private sellerservice sellerservice;
public void setsellerservice(sellerservice sellerservice) {
this.sellerservice = sellerservice;
}
/*自定义登录验证*/
@override
public userdetails loaduserbyusername(string username) throws usernamenotfoundexception {
list<grantedauthority> grantedauthorities = new arraylist<>();
grantedauthorities.add(new simplegrantedauthority("role_seller"));
//查找数据库
seller seller = sellerservice.findone(username);
if(seller != null && ("1").equals(seller.getstatus())) {
return new user(username, seller.getpassword(), grantedauthorities); //判断账户密码
}else{ return null; } } }
推荐阅读
-
详解Spring Security的HttpBasic登录验证模式
-
使用Spring Security OAuth2实现单点登录
-
Spring Security框架进阶、自定义登录
-
thinkphp5框架结合mysql实现微信登录和自定义分享链接与图文功能示例
-
如何用Spring Security OAuth2 实现登录互踢，面试必学
-
Spring Security登录验证流程源码解析
-
Spring boot security权限管理集成cas单点登录
-
web应用安全框架选型：Spring Security与Apache Shiro
-
详解Springboot2.3集成Spring security 框架(原生集成)
-
吐槽spring security 3.2 框架