Spring Security基于Java配置

  • Z时代
  • 2024-01-10
  • 分类：综合

本文内容纲要：

- 要点
- 开启Spring Security：在配置类头上加注解@EnableWebSecurity
- 初始化：定义一个继承于AbstractSecurityWebApplicationInitializer的类
- 自定义登录界面
- 开启方法注解

Maven依赖

1 <dependencies>
 2   <!-- ... other dependency elements ... -->
 3   <dependency>
 4     <groupId>org.springframework.security</groupId>
 5     <artifactId>spring-security-web</artifactId>
 6     <version>4.2.3.RELEASE</version>
 7   </dependency>
 8   <dependency>
 9     <groupId>org.springframework.security</groupId>
10     <artifactId>spring-security-config</artifactId>
11     <version>4.2.3.RELEASE</version>
12   </dependency>
13 </dependencies>

要点

configureGlobal(AuthenticationManagerBuilder auth)方法：用来配置获取和核对用户信息

configure(HttpSecurity http)方法：用来配置访问资源对应的权限

开启Spring Security：在配置类头上加注解@EnableWebSecurity

1 @Configuration
 2 @EnableWebSecurity
 3 public class SecurityConfig {
 4  
 5      @Autowired
 6      public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
 7          auth
 8              .inMemoryAuthentication()
 9                  .withUser("user").password("password").roles("USER");
10      }
11 }

这个类的配置将产生如下作用:

  • 要求验证所有请求应用的URL

  • 产生一个登录表单界面

  • 只允许使用类中指定的“user”和“password”进行登录才验证通过

  • 运行用户登出（使用post方便访问“/logout”URL）

  • 第8行定义一个在内存中（in memory）的用户，用户名为“user”，密码为“password”，角色为“USER”

初始化：定义一个继承于AbstractSecurityWebApplicationInitializer的类

  • 如果不使用Spring 或者Spring MVC，则你需要在这个类中加载上面的配置类，如下

    1 public class SecurityWebApplicationInitializer

    2 extends AbstractSecurityWebApplicationInitializer {

    3

    4 public SecurityWebApplicationInitializer() {

    5 super(SecurityConfig.class);

    6 }

    7 }

  • 如果使用Spring 或者Spring MVC，只需将这个类置空即可，然后在Spring MVC的启动类中加载SpringSecurity配置类，以下示例的Spring MVC也是基于Java注解配置的，可以看我的另一篇博客Spring完全基于Java和注解配置，如下

    1 public class SecurityWebApplicationInitializer extends AbstractSecurityWebApplicationInitializer {

    2 }

    1 public class MvcWebApplicationInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {

    2 @Override

    3 protected Class<?>[] getRootConfigClasses() {

    4 return new Class[] { WebSecurityConfig.class };

    5 }

    6 // ... other overrides ...

    7 }

第一种方法的SecurityWebApplicationInitializer 将会:

  • 自动注册springSecurityFilterChain Filter拦截所有的URL

  • 添加一个ContextLoaderListener去加载 上面定义SecurityConfig配置类

springSecurityFilterChain Filter：负责应用的所有安全，包括保护URL的访问、验证提交的用户名和密码、重定向到登录表单等

自定义登录界面

修改SecurityConfig类，WebSecurityConfigurerAdapter类提供一些方便的默认设置，使应用程序快速运行。

1 @EnableWebSecurity
 2 public class SecurityConfig extends WebSecurityConfigurerAdapter {
 3 
 4     @Override
 5     protected void configure(HttpSecurity http) throws Exception {
 6         http
 7             .authorizeRequests()
 8                 .antMatchers("/resources/**").permitAll() 
 9                 .anyRequest().authenticated()
10                 .and()
11             .formLogin()
12                 .loginPage("/login")
13                 .permitAll()
14                 .and()
15             .logout()
16                 .permitAll();
17     }
18 
19     // ...
20 } 

该配置提供：

  • 验证每个请求，除了以“/resources/”开头的URL

  • 支持基于表单验证，登录页面为“/login”对应的文件

  • 支持基于http验证

其中loginPage("/login") 指示：

  • 请求验证时被重定向到 /login

  • 验证失败失败时被重定向到 /login?error

  • 登出成功时会被重定向到 /login?logout

permitAll()方法声明允许在未验证时任何访问到的资源和URL，如果不加则连访问/login 都会一直被重定向

HttpSecurity类：类似XML配置中的元素，可以配置基于web的安全请求，默认下，它会作用于所有的请求，但是可以使用 requestMatcher(RequestMatcher)等类似方法进行限制

以下方法定义只有“USER”角色的用户才能访问“/”URL（即任何请求）

1 protected void configure(HttpSecurity http) throws Exception {
2       http.authorizeRequests().antMatchers("/**").hasRole("USER").and().formLogin();
3 }

常用方法：

antMatcher(String antPattern)：配置只有当匹配该路径模式时才调用 HttpSecurity

authorizeRequests()：限制基于HttpServletRequest之上的使用

csrf()：添加CSRF支持

configureGlobalSecurity(AuthenticationManagerBuilder auth)用来指定从何处获取用户

configure(HttpSecurity http)用来配置访问每个URL所需的对应权限

UserDetails

UserDetails 是一个 Spring Security 的核心接口，代表一个主体（包含于用户相关的信息）。

在 Authentication 接口中有一个方法 Object getPrincipal(); 这个方法返回的是一个安全主题，大多数情况下，这个对象可以强制转换成 UserDetails 对象，获取到UerDetails 对象之后，就可以通过这个对象的 getUserName()方法获取当前用户名。

自定义验证：通过暴露类型为AuthenticationProvider或者UserDetailsService的bean，使用的验证设置优先级高到低排序为AuthenticationManagerBuilder、AuthenticationProvider、UserDetailsService，即要是发现存在使用前者的配置，则后者的配置无效

通过暴露一个PasswordEncoder类型的bean来定义密码使使用何种编码，如下使用bcrypt

@Bean
public BCryptPasswordEncoder passwordEncoder() {
　　return new BCryptPasswordEncoder();
}

开启方法注解

在任何配置类（使用@Configuration注解的类）头上添加 @EnableGlobalMethodSecurity注解，然后就可以使用@Secured等方法级注解进行安全配置，可以为方法定义一系列属性，这些配置将会通过AccessDecisionManager来实际决定

本文内容总结：要点，开启Spring Security：在配置类头上加注解@EnableWebSecurity，初始化：定义一个继承于AbstractSecurityWebApplicationInitializer的类，自定义登录界面，开启方法注解，

原文链接：https://www.cnblogs.com/woncode/p/7191543.html

以上是 Spring Security基于Java配置 的全部内容， 来源链接： utcz.com/z/296450.html

回到顶部