Spring Security框架入门

偏执的太偏执、 2022-11-20 01:48 307阅读 0赞

#     #

# **Spring Security框架入门** #

##     ##

## **Spring Security简介** ##

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

## **Spring Security入门小Demo** ##

### **2.1最简单Demo** ###

（1）创建工程spring-security-demo ,pom.xml内容

<table> 
 <tbody> 
 <tr> 
 <td>&lt;project&nbsp;xmlns="http://maven.apache.org/POM/4.0.0"&nbsp;xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/maven-v4_0_0.xsd"&gt;&lt;modelVersion&gt;4.0.0&lt;/modelVersion&gt;&lt;groupId&gt;cn.itcast.demo&lt;/groupId&gt;&lt;artifactId&gt;spring-security-demo&lt;/artifactId&gt;&lt;packaging&gt;war&lt;/packaging&gt;&lt;version&gt;0.0.1-SNAPSHOT&lt;/version&gt;&lt;properties&gt;&lt;spring.version&gt;4.2.4.RELEASE&lt;/spring.version&gt;&lt;/properties&gt;&lt;dependencies&gt;&lt;dependency&gt;&lt;groupId&gt;org.springframework&lt;/groupId&gt;&lt;artifactId&gt;spring-core&lt;/artifactId&gt;&lt;version&gt;${spring.version}&lt;/version&gt;&lt;/dependency&gt;&lt;dependency&gt;&lt;groupId&gt;org.springframework&lt;/groupId&gt;&lt;artifactId&gt;spring-web&lt;/artifactId&gt;&lt;version&gt;${spring.version}&lt;/version&gt;&lt;/dependency&gt;&lt;dependency&gt;&lt;groupId&gt;org.springframework&lt;/groupId&gt;&lt;artifactId&gt;spring-webmvc&lt;/artifactId&gt;&lt;version&gt;${spring.version}&lt;/version&gt;&lt;/dependency&gt;&lt;dependency&gt;&lt;groupId&gt;org.springframework&lt;/groupId&gt;&lt;artifactId&gt;spring-context-support&lt;/artifactId&gt;&lt;version&gt;${spring.version}&lt;/version&gt;&lt;/dependency&gt;&lt;dependency&gt;&lt;groupId&gt;org.springframework&lt;/groupId&gt;&lt;artifactId&gt;spring-test&lt;/artifactId&gt;&lt;version&gt;${spring.version}&lt;/version&gt;&lt;/dependency&gt;&lt;dependency&gt;&lt;groupId&gt;org.springframework&lt;/groupId&gt;&lt;artifactId&gt;spring-jdbc&lt;/artifactId&gt;&lt;version&gt;${spring.version}&lt;/version&gt;&lt;/dependency&gt;&lt;dependency&gt;&lt;groupId&gt;org.springframework.security&lt;/groupId&gt;&lt;artifactId&gt;spring-security-web&lt;/artifactId&gt;&lt;version&gt;4.1.0.RELEASE&lt;/version&gt;&lt;/dependency&gt;&lt;dependency&gt;&lt;groupId&gt;org.springframework.security&lt;/groupId&gt;&lt;artifactId&gt;spring-security-config&lt;/artifactId&gt;&lt;version&gt;4.1.0.RELEASE&lt;/version&gt;&lt;/dependency&gt;&lt;dependency&gt;&lt;groupId&gt;javax.servlet&lt;/groupId&gt;&lt;artifactId&gt;servlet-api&lt;/artifactId&gt;&lt;version&gt;2.5&lt;/version&gt;&lt;scope&gt;provided&lt;/scope&gt;&lt;/dependency&gt;&lt;/dependencies&gt;&lt;build&gt;&nbsp;&nbsp;&lt;plugins&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;!-- java编译插件 --&gt;&nbsp;&nbsp;&lt;plugin&gt;&lt;groupId&gt;org.apache.maven.plugins&lt;/groupId&gt;&lt;artifactId&gt;maven-compiler-plugin&lt;/artifactId&gt;&lt;version&gt;3.2&lt;/version&gt;&lt;configuration&gt;&lt;source&gt;1.7&lt;/source&gt;&lt;target&gt;1.7&lt;/target&gt;&lt;encoding&gt;UTF-8&lt;/encoding&gt;&lt;/configuration&gt;&nbsp;&nbsp;&lt;/plugin&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;plugin&gt;&lt;groupId&gt;org.apache.tomcat.maven&lt;/groupId&gt;&lt;artifactId&gt;tomcat7-maven-plugin&lt;/artifactId&gt;&lt;configuration&gt;&lt;!-- 指定端口 --&gt;&lt;port&gt;9090&lt;/port&gt;&lt;!-- 请求路径 --&gt;&lt;path&gt;/&lt;/path&gt;&lt;/configuration&gt;&nbsp;&nbsp;&nbsp;&nbsp;&lt;/plugin&gt;&nbsp;&nbsp;&nbsp;&lt;/plugins&gt;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;/build&gt;&lt;/project&gt;</td> 
 </tr> 
 </tbody> 
</table>

（2）创建web.xml

<table> 
 <tbody> 
 <tr> 
 <td>&lt;?xml&nbsp;version="1.0"&nbsp;encoding="UTF-8"?&gt;&lt;web-app&nbsp;xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xmlns="http://java.sun.com/xml/ns/javaee"xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd"version="2.5"&gt;&nbsp;&nbsp;&nbsp;&lt;context-param&gt;&lt;param-name&gt;contextConfigLocation&lt;/param-name&gt;&lt;param-value&gt;classpath:spring-security.xml&lt;/param-value&gt;&nbsp;&lt;/context-param&gt;&nbsp;&lt;listener&gt;&lt;listener-class&gt;org.springframework.web.context.ContextLoaderListener&lt;/listener-class&gt;&nbsp;&lt;/listener&gt;&nbsp;&lt;filter&gt;&nbsp;&nbsp;&lt;filter-name&gt;springSecurityFilterChain&lt;/filter-name&gt;&nbsp;&nbsp;&nbsp;&lt;filter-class&gt;org.springframework.web.filter.DelegatingFilterProxy&lt;/filter-class&gt;&nbsp;&nbsp;&nbsp;&lt;/filter&gt;&nbsp;&nbsp;&nbsp;&lt;filter-mapping&gt;&nbsp;&nbsp;&lt;filter-name&gt;springSecurityFilterChain&lt;/filter-name&gt;&nbsp;&nbsp;&lt;url-pattern&gt;/*&lt;/url-pattern&gt;&nbsp;&nbsp;&nbsp;&lt;/filter-mapping&gt;&lt;/web-app&gt;</td> 
 </tr> 
 </tbody> 
</table>

（3）创建index.html   内容略

（4）创建spring 配置文件spring-security.xml

<table> 
 <tbody> 
 <tr> 
 <td>&lt;?xml&nbsp;version="1.0"&nbsp;encoding="UTF-8"?&gt;&lt;beans:beans&nbsp;xmlns="http://www.springframework.org/schema/security"xmlns:beans="http://www.springframework.org/schema/beans"&nbsp;xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsdhttp://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd"&gt;&nbsp;&lt;!-- 页面拦截规则 --&gt;&lt;http&nbsp;use-expressions="false"&gt;&lt;intercept-url&nbsp;pattern="/**"&nbsp;access="ROLE_USER"&nbsp;/&gt;&lt;form-login/&gt;&lt;/http&gt;&nbsp;&lt;!-- 认证管理器 --&gt;&lt;authentication-manager&gt;&lt;authentication-provider&gt;&lt;user-service&gt;&lt;user&nbsp;name="admin"&nbsp;password="123456"&nbsp;authorities="ROLE_USER"/&gt;&lt;/user-service&gt;&lt;/authentication-provider&gt;&lt;/authentication-manager&gt;&lt;/beans:beans&gt;</td> 
 </tr> 
 </tbody> 
</table>

此案例我们没有登录页，而是使用了系统自动生成的登陆页，效果如下：

![format_png][]

配置说明：

intercept-url 表示拦截页面

/\*  表示的是该目录下的资源，只包括本级目录不包括下级目录

/\*\* 表示的是该目录以及该目录下所有级别子目录的资源

form-login  为开启表单登陆

use-expressions 为是否使用使用 Spring 表达式语言（ SpEL ），默认为true ,如果开启，则拦截的配置应该写成以下形式

<table> 
 <tbody> 
 <tr> 
 <td>&lt;intercept-url&nbsp;pattern="/**"&nbsp;access="hasRole('ROLE_USER')"&nbsp;/&gt;</td> 
 </tr> 
 </tbody> 
</table>

### **2.2用户自定义登录页** ###

实际开发中，我们不可能使用系统生成的登录页，而是使用我们自己的登录页。

（1）构建登陆页：

<table> 
 <tbody> 
 <tr> 
 <td>&lt;!DOCTYPE&nbsp;html&gt;&lt;html&gt;&lt;head&gt;&lt;meta&nbsp;http-equiv="Content-Type"&nbsp;content="text/html; charset=UTF-8"&gt;&lt;title&gt;登陆&lt;/title&gt;&lt;/head&gt;&lt;body&gt;&lt;form&nbsp;action='/login'&nbsp;method='POST'&gt;&lt;table&gt;&lt;tr&gt;&lt;td&gt;用户名:&lt;/td&gt;&lt;td&gt;&lt;input&nbsp;type='text'&nbsp;name='username'&nbsp;value=''&gt;&lt;/td&gt;&lt;/tr&gt;&lt;tr&gt;&lt;td&gt;密码:&lt;/td&gt;&lt;td&gt;&lt;input&nbsp;type='password'&nbsp;name='password'&nbsp;/&gt;&lt;/td&gt;&lt;/tr&gt;&lt;tr&gt;&lt;td&nbsp;colspan='2'&gt;&lt;input&nbsp;name="submit"&nbsp;type="submit"value="登陆"&nbsp;/&gt;&lt;/td&gt;&lt;/tr&gt;&lt;/table&gt;&lt;/form&gt;&lt;/body&gt;&lt;/html&gt;</td> 
 </tr> 
 </tbody> 
</table>

（2）构建登陆失败页  login\_error.html（内容略）

（3）修改 spring 配置文件spring-security.xml

<table> 
 <tbody> 
 <tr> 
 <td>&lt;!-- 以下页面不被拦截 --&gt;&lt;http&nbsp;pattern="/login.html" security="none"&gt;&lt;/http&gt;&lt;http&nbsp;pattern="/login_error.html" security="none"&gt;&lt;/http&gt;&lt;!-- 页面拦截规则 --&gt;&lt;http&nbsp;use-expressions="false"&gt;&lt;intercept-url&nbsp;pattern="/*"&nbsp;access="ROLE_USER"&nbsp;/&gt;&lt;form-login&nbsp;login-page="/login.html"&nbsp;default-target-url="/index.html"&nbsp;authentication-failure-url="/login_error.html"/&gt;&lt;csrf&nbsp;disabled="true"/&gt;&lt;/http&gt;</td> 
 </tr> 
 </tbody> 
</table>

security="none"  设置此资源不被拦截.   
如果你没有设置登录页security="none"  ，将会出现以下错误

![format_png 1][]

因为登录页会被反复重定向。

csrf disabled="true"  关闭csrf ,如果不加会出现错误

![format_png 2][]

CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。

![format_png 3][]

长按图片识别二维码关注

![format_png 4][]

CSDN博客地址

一个喜欢分享最新开发技术的公众号，是我个人的公众号，强烈推荐关注。

关注后回复1001，领取一整套JAVA相关电子书籍。

![Image 1][]

[format_png]: /images/20221120/fc7195dff1c24ab0928e7bc71dd6e123.png
[format_png 1]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy81Y1ZsUEhMTWtMVmdyYmtVOUwwdFB1MGNpY0M2MzNLZFh6akVtb1FjQ2JvR3FEaWJ2b0NZeUNxaWNpYWExRzY5aEdsRlcxSlpIbVR2NXNyajE4ZDVvM1Q2d1EvNjQw?x-oss-process=image/format,png
[format_png 2]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy81Y1ZsUEhMTWtMVmdyYmtVOUwwdFB1MGNpY0M2MzNLZFhGZlJ5c0s3R0pTZ2t1a0ViOFo3Um9qek91UDlqSm14WFl2M3o4QWJVOHhmZmFHNDlDV082eFEvNjQw?x-oss-process=image/format,png
[format_png 3]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X2pwZy81Y1ZsUEhMTWtMWEJkYmljZHRlcDZBOEI4bElucXhSM3RsM2p1U0dCWHl0WjZCZ05NNXU5UXpGRW9wQXNPSndmTFRsUXp5V3FoZG94RXJ2Wk5qcUtaM1EvNjQw?x-oss-process=image/format,png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly9tbWJpei5xcGljLmNuL21tYml6X3BuZy81Y1ZsUEhMTWtMWEJkYmljZHRlcDZBOEI4bElucXhSM3RPZ21obDZLWmZyOTVMaDl4eGJTWmJBMlNMRktOdGljeWNZdWZQSHNJNWlid254ZU10R0R0TmVRUS82NDA?x-oss-process=image/format,png
[Image 1]: https://imgconvert.csdnimg.cn/