Spring Security快速上手、SpringBoot整合Spring Security

﹏ヽ暗。殇╰゛Y 2023-03-01 05:47 172阅读 0赞

一、Spring Security介绍

  • Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。由于它是Spring生态系统中的一员，因此它伴随着整个Spring生态系统不断修正、升级，在spring boot项目中加入spring security更是十分简单，使用Spring Security 减少了为企业系统安全控制编写大量重复代码的工作。

1、工程搭建

使用的是springmvc + web3.0的方式构建Spring Security, 所以没有.xml文件, 取而代之的是配置类;

2、Pom文件引入

  1. <?xml version="1.0" encoding="UTF-8"?>
  2. <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
  3.     <modelVersion>4.0.0</modelVersion>
  5.     <groupId>com.zy</groupId>
  6.     <artifactId>spring-security</artifactId>
  7.     <version>1.0-SNAPSHOT</version>
  8.     <packaging>war</packaging>
  9.     <properties>
  10.         <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
  11.         <maven.compiler.source>1.8</maven.compiler.source>
  12.         <maven.compiler.target>1.8</maven.compiler.target>
  13.     </properties>
  14.     <dependencies>
  15.         <dependency>
  16.             <groupId>org.springframework.security</groupId>
  17.             <artifactId>spring-security-web</artifactId>
  18.             <version>5.1.4.RELEASE</version>
  19.         </dependency>
  21.         <dependency>
  22.             <groupId>org.springframework.security</groupId>
  23.             <artifactId>spring-security-config</artifactId>
  24.             <version>5.1.4.RELEASE</version>
  25.         </dependency>
  26.         <dependency>
  27.             <groupId>org.springframework</groupId>
  28.             <artifactId>spring-webmvc</artifactId>
  29.             <version>5.1.5.RELEASE</version>
  30.         </dependency>
  32.         <dependency>
  33.             <groupId>javax.servlet</groupId>
  34.             <artifactId>javax.servlet-api</artifactId>
  35.             <version>3.0.1</version>
  36.             <scope>provided</scope>
  37.         </dependency>
  38.         <dependency>
  39.             <groupId>org.projectlombok</groupId>
  40.             <artifactId>lombok</artifactId>
  41.             <version>1.18.8</version>
  42.         </dependency>
  43.     </dependencies>
  44.     <build>
  45.         <finalName>security-springmvc</finalName>
  46.         <pluginManagement>
  47.             <plugins>
  48.                 <plugin>
  49.                     <groupId>org.apache.tomcat.maven</groupId>
  50.                     <artifactId>tomcat7-maven-plugin</artifactId>
  51.                     <version>2.2</version>
  52.                 </plugin>
  53.                 <plugin>
  54.                     <groupId>org.apache.maven.plugins</groupId>
  55.                     <artifactId>maven-compiler-plugin</artifactId>
  56.                     <configuration>
  57.                         <source>1.8</source>
  58.                         <target>1.8</target>
  59.                     </configuration>
  60.                 </plugin>
  62.                 <plugin>
  63.                     <artifactId>maven-resources-plugin</artifactId>
  64.                     <configuration>
  65.                         <encoding>utf-8</encoding>
  66.                         <useDefaultDelimiters>true</useDefaultDelimiters>
  67.                         <resources>
  68.                             <resource>
  69.                                 <directory>src/main/resources</directory>
  70.                                 <filtering>true</filtering>
  71.                                 <includes>
  72.                                     <include>**/*</include>
  73.                                 </includes>
  74.                             </resource>
  75.                             <resource>
  76.                                 <directory>src/main/java</directory>
  77.                                 <includes>
  78.                                     <include>**/*.xml</include>
  79.                                 </includes>
  80.                             </resource>
  81.                         </resources>
  82.                     </configuration>
  83.                 </plugin>
  84.             </plugins>
  85.         </pluginManagement>
  86.     </build>
  87. </project>

3、Spring容器配置

相当于applicationContext.xml文件

  1. @Configuration  // 相当于applicationContext.xml
  2. @ComponentScan(basePackages = "com.zy",
  3.     // 排除对Controller的扫描
  4.     excludeFilters = { @ComponentScan.Filter(type = FilterType.ANNOTATION, value = Controller.class)})
  5. public class ApplicationConfig { 
  6. }

4、Servlet Context配置 WebConfig implements WebMvcConfigurer

相当于springmvc.xml

  1. @Configuration // 相当于springmvc.xml
  2. @EnableWebMvc
  3. @ComponentScan(basePackages = "com.zy", includeFilters = { @ComponentScan.Filter(
  4.         type = FilterType.ANNOTATION, value = Controller.class)})
  5. public class WebConfig implements WebMvcConfigurer { 
  8.     // 视频解析器
  9.     @Bean
  10.     public InternalResourceViewResolver viewResolver() { 
  11.         InternalResourceViewResolver viewResolver = new InternalResourceViewResolver();
  12.         viewResolver.setPrefix("/WEB-INF/view/");
  13.         viewResolver.setSuffix(".jsp");
  14.         return viewResolver;
  15.     }
  17.     // 配置映射到jsp页面
  18.     @Override
  19.     public void addViewControllers(ViewControllerRegistry registry) { 
  20.         registry.addViewController("/").setViewName("login");
  21.     }
  22. }

5、加载Spring容器

在init包下定义Spring容器初始化类SpringApplicationInitializer，此类实现WebApplicationInitializer接口， Spring容器启动时加载WebApplicationInitializer接口的所有实现类。

  1. // 相当于加载了web.xml文件
  2. public class SpringApplicationInitializer extends AbstractAnnotationConfigDispatcherServletInitializer { 
  4.     //spring容器，相当于加载 applicationContext.xml
  5.     @Override
  6.     protected Class<?>[] getRootConfigClasses() { 
  7.         return new Class[]{ ApplicationConfig.class};
  8.     }
  10.     //servletContext，相当于加载springmvc.xml
  11.     @Override
  12.     protected Class<?>[] getServletConfigClasses() { 
  13.         return new Class[]{ WebConfig.class};
  14.     }
  16.     //url-mapping
  17.     @Override
  18.     protected String[] getServletMappings() { 
  19.         return new String[]{ "/"};
  20.     }
  21. }

二、认证

SpringSecurity默认提供认证页面，不需要额外开发。
在这里插入图片描述

1、安全配置

spring security提供了用户名密码登录、退出、会话管理等认证功能，只需要配置即可使用。

  • 在config包下定义WebSecurityConfig，安全配置的内容包括：用户信息、密码编码器、安全拦截机制。

    @EnableWebSecurity
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter { 

    1. // 配置用户信息服务
    2. @Bean
    3. public UserDetailsService userDetailsService() { 
    4.     InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
    5.     manager.createUser(User.withUsername("zhangsan").password("123").authorities("p1").build());
    6.     manager.createUser(User.withUsername("lisi").password("456").authorities("p2").build());
    7.     return manager;
    8. }
    10. // 对密码进行编码, 使用不加密的对比
    11. @Bean
    12. public PasswordEncoder passwordEncoder() { 
    13.     return NoOpPasswordEncoder.getInstance();
    14. }
    16. // 配置安全拦截机制
    17. @Override
    18. protected void configure(HttpSecurity http) throws Exception { 
    19.     http.authorizeRequests().antMatchers("/r/**").authenticated() // 对所有/r/**请求必须认证通过,才可以访问
    20.             .anyRequest().permitAll() // 除了/r/**, 其他请求都可以访问
    21.             .and()
    22.             .formLogin().successForwardUrl("/login-success");    // 登录成功跳转到/login-success
    23. }

    }

  • 在userDetailsService()方法中，我们返回了一个UserDetailsService给Spring容器，Spring Security会使用它来获取用户信息。我们暂时使用InMemoryUserDetailsManager实现类，并在其中分别创建了zhangsan、lisi两个用户，并设置密码和权限。

  • 而在configure()中，我们通过HttpSecurity设置了安全拦截规则，其中包含了以下内容：
    在这里插入图片描述

  • 加载 WebSecurityConfig

    @Override
    protected Class<?>[] getRootConfigClasses() { 

    1. return new Class[]{ ApplicationConfig.class, WebSecurityConfig.class};

    }

2、Spring Security初始化

Spring Security初始化，这里有两种情况

  • 若当前环境没有使用Spring或Spring MVC，则需要将 WebSecurityConfig(Spring Security配置类) 传入超类，以确保获取配置，并创建spring context。

  • 相反，若当前环境已经使用spring，我们应该在现有的springContext中注册Spring Security(上一步已经做将 WebSecurityConfig加载至rootcontext)，此方法可以什么都不做。 在init包下定义SpringSecurityApplicationInitializer：

    // 初始化Spring Security
    public class SpringSecurityApplicationInitializer

    1.     extends AbstractSecurityWebApplicationInitializer { 
    2. public SpringSecurityApplicationInitializer() { 
    3.     //super(WebSecurityConfig.class);
    4. }

    }

3、默认根路径请求

在WebConfig.java中添加默认请求根路径跳转到/login，此url为spring security提供

  1. @Override
  2. public void addViewControllers(ViewControllerRegistry registry) { 
  3.     registry.addViewController("/").setViewName("redirect:/login");
  4. }

spring security默认提供的登录页面。

4、认证成功页面

在安全配置中，认证成功将跳转到/login-success，代码如下：

在这里插入图片描述

spring security支持form表单认证，认证成功后转向/login-success。

在LoginController中定义/login-success:

  1. @RestController
  2. public class LoginController { 
  4.     @RequestMapping(value = "/login-success",produces = { "text/plain;charset=UTF-8"})
  5.     public String loginSuccess(){ 
  6.         return " 登录成功";
  7.     }
  8. }

5、测试

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

三、授权

实现授权需要对用户的访问进行拦截校验，校验用户的权限是否可以操作指定的资源，Spring Security默认提供授权实现方法。

  • 在LoginController添加/r/r1或/r/r2

    @RestController
    public class LoginController { 

    1. @RequestMapping(value = "/login-success",produces = { "text/plain;charset=UTF-8"})
    2. public String loginSuccess(){ 
    3.     return " 登录成功";
    4. }
    6. /** * 测试资源1 * @return */
    7. @GetMapping(value = "/r/r1",produces = { "text/plain;charset=UTF-8"})
    8. public String r1(){ 
    9.     return " 访问资源1";
    10. }
    12. /** * 测试资源2 * @return */
    13. @GetMapping(value = "/r/r2",produces = { "text/plain;charset=UTF-8"})
    14. public String r2(){ 
    15.     return " 访问资源2";
    16. }

    }

在安全配置类WebSecurityConfig.java中配置授权规则：

  1. //安全拦截机制（最重要）
  2. @Override
  3. protected void configure(HttpSecurity http) throws Exception { 
  4.     http.authorizeRequests()
  5.             .antMatchers("/r/r1").hasAuthority("p1")
  6.             .antMatchers("/r/r2").hasAuthority("p2")
  7.             .antMatchers("/r/**").authenticated()//所有/r/**的请求必须认证通过
  8.             .anyRequest().permitAll()//除了/r/**，其它的请求可以访问
  9.             .and()
  10.             .formLogin()//允许表单登录
  11.             .successForwardUrl("/login-success");//自定义登录成功的页面地址
  12. }

在这里插入图片描述
在这里插入图片描述

四、小结

通过快速上手，使用Spring Security实现了认证和授权，Spring Security提供了基于账号和密码的认证方式， 通过安全配置即可实现请求拦截，授权功能，Spring Security能完成的不仅仅是这些。

五、SpringBoot整合Spring Security

  • 在上面的基础上改良为SpringBoot整合Spring Security

在这里插入图片描述
导入相关security的starter(场景启动器)

  • application.properties

    server.port=8080
    server.servlet.context‐path=/security‐springboot
    spring.application.name=security‐springboot
    spring.mvc.view.prefix=/WEB‐INF/views/
    spring.mvc.view.suffix=.jsp

  • SpringBootApplication

    @SpringBootApplication(exclude = { DataSourceAutoConfiguration.class})
    public class SpringBootApp { 

    1. public static void main(String[] args) { 
    2.     SpringApplication.run(SpringBootApp.class, args);
    3. }

    }

  • WebConfig
    和springmvc来构建security不同, 因为在 @SpringBootApplication注解会自动将组件都添加到Spring容器中

    @Configuration // 相当于springmvc.xml
    public class WebConfig implements WebMvcConfigurer { 

    1. // 配置映射到jsp页面
    2. @Override
    3. public void addViewControllers(ViewControllerRegistry registry) { 
    4.     registry.addViewController("/").setViewName("redirect:/login");
    5. }

    }

  • WebSecurityConfig

    @Configuration
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter { 

    1. // 配置用户信息服务
    2. @Bean
    3. public UserDetailsService userDetailsService() { 
    4.     InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
    5.     manager.createUser(User.withUsername("zhangsan").password("123").authorities("p1").build());
    6.     manager.createUser(User.withUsername("lisi").password("456").authorities("p2").build());
    7.     return manager;
    8. }
    10. // 对密码进行编码, 使用不加密的对比
    11. @Bean
    12. public PasswordEncoder passwordEncoder() { 
    13.     return NoOpPasswordEncoder.getInstance();
    14. }
    16. // 配置安全拦截机制
  1.     //安全拦截机制（最重要）
  2.     @Override
  3.     protected void configure(HttpSecurity http) throws Exception { 
  4.         http.authorizeRequests()
  5.                 .antMatchers("/r/r1").hasAuthority("p1")
  6.                 .antMatchers("/r/r2").hasAuthority("p2")
  7.                 .antMatchers("/r/**").authenticated()//所有/r/**的请求必须认证通过
  8.                 .anyRequest().permitAll()//除了/r/**，其它的请求可以访问
  9.                 .and()
  10.                 .formLogin()//允许表单登录
  11.                 .successForwardUrl("/login-success");//自定义登录成功的页面地址
  13.     }
  14. }

  • LoginController

    @RestController
    public class LoginController { 

    1. @RequestMapping(value = "/login-success",produces = { "text/plain;charset=UTF-8"})
    2. public String loginSuccess(){ 
    3.     return " 登录成功";
    4. }
    6. /** * 测试资源1 * @return */
    7. @GetMapping(value = "/r/r1",produces = { "text/plain;charset=UTF-8"})
    8. public String r1(){ 
    9.     return " 访问资源1";
    10. }
    12. /** * 测试资源2 * @return */
    13. @GetMapping(value = "/r/r2",produces = { "text/plain;charset=UTF-8"})
    14. public String r2(){ 
    15.     return " 访问资源2";
    16. }

    }

测试同上

发表评论

表情：
评论列表 （有 0 条评论，172人围观）

还没有评论，来说两句吧...

相关阅读

    相关 springboot整合spring-security

    在web开发中，安全性问题比较重要，一般会使用过滤器或者拦截器的方式对权限等进行验证过滤。此博客根据b站up主，使用demo示例进行展示spring-security的一些功能

    桃扇骨桃扇骨/ 0 赞/ 157 阅读