SpringBoot与安全

末蓝、 2022-04-25 01:40 130阅读 0赞

SpringBoot Security管理武当秘籍：

## 简介 ##

### 安全框架 ###

Spring Security是针对Spring项目的安全框架，也是Spring Boot底层安全模块默认的技术选型。他可以实现强大的web安全控制。对于安全控制，我们仅需引入spring-boot-starter-security模块，进行少量的配置，即可实现强大的安全管理。

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。

### Spring Security ###

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 2 3 </pre></td> 
 <td><pre>WebSecurityConfigurerAdapter：自定义Security策略 AuthenticationManagerBuilder：自定义认证策略 @EnableWebSecurity：开启WebSecurity模式 </pre></td> 
 </tr> 
 </tbody> 
</table>

应用程序的两个主要区域是“认证”和“授权”（或者访问控制）。这两个主要区域是Spring Security 的两个目标。

“认证”（Authentication），是建立一个他声明的主体的过程（一个“主体”一般是指用户，设备或一些可以在你的应用程序中执行动作的其他系统）。

“授权”（Authorization）指确定一个主体是否允许在你的应用程序执行一个动作的过程。为了抵达需要授权的店，主体的身份已经有认证过程建立。

这个概念是通用的而不只在Spring Security中。

## 准备 ##

创建一个项目Springboot为1.5.20,并且导入thymeleaf支持。

### 页面准备 ###

链接：[https://pan.baidu.com/s/11UWsVj5rohGms24Xl8rFYQ][https_pan.baidu.com_s_11UWsVj5rohGms24Xl8rFYQ] 提取码：3pwj

### Controller ###

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 </pre></td> 
 <td><pre>package com.hph.springbootsecurity.controller; import org.springframework.stereotype.Controller; import org.springframework.web.bind.annotation.GetMapping; import org.springframework.web.bind.annotation.PathVariable; @Controller public class KungfuController {
 	private final String PREFIX = "pages/"; 	/** * 欢迎页 * @return */ 	@GetMapping("/") 	public String index() {
 		return "welcome"; 	} 	 	/** * 登陆页 * @return */ 	@GetMapping("/userlogin") 	public String loginPage() {
 		return PREFIX+"login"; 	} 	 	 	/** * level1页面映射 * @param path * @return */ 	@GetMapping("/level1/{path}") 	public String level1(@PathVariable("path")String path) {
 		return PREFIX+"level1/"+path; 	} 	 	/** * level2页面映射 * @param path * @return */ 	@GetMapping("/level2/{path}") 	public String level2(@PathVariable("path")String path) {
 		return PREFIX+"level2/"+path; 	} 	 	/** * level3页面映射 * @param path * @return */ 	@GetMapping("/level3/{path}") 	public String level3(@PathVariable("path")String path) {
 		return PREFIX+"level3/"+path; 	} } </pre></td> 
 </tr> 
 </tbody> 
</table>

![ALGYlR.png][]

启动之后报错这是因为我们的thymeleaf版本不支持，因此我们需要更改一下pom文件中的配置信息。

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 2 3 4 5 </pre></td> 
 <td><pre>&lt;properties&gt; &lt;java.version&gt;1.8&lt;/java.version&gt; &lt;thymeleaf.version&gt;3.0.9.RELEASE&lt;/thymeleaf.version&gt; &lt;thymeleaf-layout-dialect.version&gt;2.3.0&lt;/thymeleaf-layout-dialect.version&gt; &lt;/properties&gt; </pre></td> 
 </tr> 
 </tbody> 
</table>

![ALJGE8.png][]

现在这套武当派的秘籍管理系统不是很好我们需要完善一下。

## 步骤 ##

### 引入Spring Security ###

在pom文件中添加

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 2 3 4 </pre></td> 
 <td><pre>&lt;dependency&gt; &lt;groupId&gt;org.springframework.boot&lt;/groupId&gt; &lt;artifactId&gt;spring-boot-starter-security&lt;/artifactId&gt; &lt;/dependency&gt; </pre></td> 
 </tr> 
 </tbody> 
</table>

### Spring Security的配置 ###

SpringBoot帮助我们配置了大多数的Spring Security，因此我们只需要编写一个配置类即可。参考[官网][Link 1]

在配置之后我们先看一下效果。

![ALtAYD.png][]

主页可以访问不过其他的组件时候。不可以访问。提示403，必须角色相互匹配。

![ALteld.png][]

当我们开启自动配置登录的时候

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 2 3 4 </pre></td> 
 <td><pre>//开启自动配置的登录功能 http.formLogin(); //1.login请求来到登录页 //2.如果登录错误,重定向到/login?error </pre></td> 
 </tr> 
 </tbody> 
</table>

![ALtvAf.png][]

### 自定义规则 ###

开发过程中尽量不要使用中文

经过测试相应角色都可以访问。

### 添加注销 ###

首先我们在welcome.html中添加

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 2 3 4 5 6 </pre></td> 
 <td><pre>&lt;h1 align="center"&gt;欢迎光临武当秘籍管理系统&lt;/h1&gt; &lt;h2 align="center"&gt;游客您好，如果想查看武当秘籍 &lt;a th:href="@{/login}"&gt;请成为武当弟子&lt;/a&gt;&lt;/h2&gt; &lt;!--添加--&gt; &lt;form th:action="@{/logout}" method="post"&gt; 	&lt;input type="submit" value="注销"/&gt; &lt;/form&gt; </pre></td> 
 </tr> 
 </tbody> 
</table>

配置类中设置logout;

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 </pre></td> 
 <td><pre>http.logout(); </pre></td> 
 </tr> 
 </tbody> 
</table>

注销成功之后会返回login?logout的登录页，当然我们也可以定制url

![ALwSZn.png][]

定制注销后返回的url

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 </pre></td> 
 <td><pre>http.logout().logoutSuccessUrl("/"); </pre></td> 
 </tr> 
 </tbody> 
</table>

如何让游客显示为特定角色呢？我们需要引入

### 显示角色权限 ###

在welcome.html中添加

![AL0LuQ.png][]

![AL6I4s.png][]

### 对应权限显示 ###

我们需要在welcome.html中修改

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 </pre></td> 
 <td><pre>&lt;div sec:authorize="hasRole('newbee')"&gt; &lt;h3&gt;普通武功秘籍&lt;/h3&gt; &lt;ul&gt; &lt;li&gt;&lt;a th:href="@{/level1/1}"&gt;八卦掌&lt;/a&gt;&lt;/li&gt; &lt;li&gt;&lt;a th:href="@{/level1/2}"&gt;犀牛望月&lt;/a&gt;&lt;/li&gt; &lt;li&gt;&lt;a th:href="@{/level1/3}"&gt;太渊十三剑&lt;/a&gt;&lt;/li&gt; &lt;/ul&gt; &lt;/div&gt; &lt;div sec:authorize="hasRole('senior')"&gt; &lt;h3&gt;高级武功秘籍&lt;/h3&gt; &lt;ul&gt; &lt;li&gt;&lt;a th:href="@{/level2/1}"&gt;梯云纵&lt;/a&gt;&lt;/li&gt; &lt;li&gt;&lt;a th:href="@{/level2/2}"&gt;七星聚首&lt;/a&gt;&lt;/li&gt; &lt;li&gt;&lt;a th:href="@{/level2/3}"&gt;天外飞仙&lt;/a&gt;&lt;/li&gt; &lt;/ul&gt; &lt;/div&gt; &lt;div sec:authorize="hasRole('master')"&gt; &lt;h3&gt;绝世武功秘籍&lt;/h3&gt; &lt;ul&gt; &lt;li&gt;&lt;a th:href="@{/level3/1}"&gt;神照经&lt;/a&gt;&lt;/li&gt; &lt;li&gt;&lt;a th:href="@{/level3/2}"&gt;九阴真经&lt;/a&gt;&lt;/li&gt; &lt;li&gt;&lt;a th:href="@{/level3/3}"&gt;独孤九剑&lt;/a&gt;&lt;/li&gt; &lt;/ul&gt; &lt;/div&gt; </pre></td> 
 </tr> 
 </tbody> 
</table>

### 记住我功能 ###

在MySecurityConfig中添加

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 2 </pre></td> 
 <td><pre>//开启记住我功能 http.rememberMe(); </pre></td> 
 </tr> 
 </tbody> 
</table>

开启之后再次登录就有一个记住我的按钮了

![ALgiJs.png][]

![ALgTXV.png][]

登录成功之后cookie发送给浏览器保存，以后登录带上这个cookie，只要通过检查就可以免登录，如果点击注销会删除这个cookie

### 定制登录页 ###

在MySecurityConfig中使用

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 </pre></td> 
 <td><pre>http.formLogin().usernameParameter("user").passwordParameter("passwd").loginPage("/userlogin"); </pre></td> 
 </tr> 
 </tbody> 
</table>

在修改welcome.html 发送请求为userlogin

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 </pre></td> 
 <td><pre>&lt;h2 align="center"&gt;游客您好，如果想查看武当秘籍请&lt;a th:href="@{/userlogin}"&gt;成为武当弟子&lt;/a&gt;&lt;/h2&gt; </pre></td> 
 </tr> 
 </tbody> 
</table>

默认post形式的/login代表处理登录，但是如果一旦定制了loginPage的post请求就是登录

![ALheIS.png][]

实现了登录界面的跳转。

#### 添加记住我功能 ####

在MySecurityConfig中添加

<table> 
 <tbody> 
 <tr> 
 <td><pre>1 2 </pre></td> 
 <td><pre>//开启记住我功能 http.rememberMe().rememberMeParameter("remeber"); </pre></td> 
 </tr> 
 </tbody> 
</table>

在userlogin.html中添加

![ALh5Lt.png][]

没有提交表单之前式没有rember这个cookie的

![AL4FW4.png][]

这样下次就不用手动输入密码了。

[https_pan.baidu.com_s_11UWsVj5rohGms24Xl8rFYQ]: https://pan.baidu.com/s/11UWsVj5rohGms24Xl8rFYQ
[ALGYlR.png]: /images/20220210/1993af83f47d47cb9eddebfb83eb9d35.png
[ALJGE8.png]: /images/20220210/92205ace096e48db98cc25f5fe68ea4a.png
[Link 1]: https://docs.spring.io/spring-security/site/docs/current/guides/html5/helloworld-boot.html
[ALtAYD.png]: /images/20220210/434bb023e6bc42bc935eb84f4ba4daa5.png
[ALteld.png]: /images/20220210/0f3846c87158484cb89d809ab6fad02a.png
[ALtvAf.png]: /images/20220210/86af5792b8284459bbca1d5a6b41ca13.png
[ALwSZn.png]: /images/20220210/36524471e1934dd9bb54ef36b70e7bc4.png
[AL0LuQ.png]: /images/20220210/0ff86d043cef4cb3bfe6f537525fb201.png
[AL6I4s.png]: /images/20220210/62c8080889db449d9560babc07ef39fc.png
[ALgiJs.png]: /images/20220210/aaac00aa2f404b1381ca3911445d7c6f.png
[ALgTXV.png]: /images/20220210/2e88d6214ad94a9d98cff68dc1217a19.png
[ALheIS.png]: /images/20220210/0fe9ceffb57b480b99fa710c1d57ec8a.png
[ALh5Lt.png]: /images/20220210/96c9587a5758403c9f008904bc39ffe8.png
[AL4FW4.png]: /images/20220210/7fc21f8a871547f29ed14be18e68c619.png