SpringSecurity简介

概述

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。
它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI 和AOP（面向切面编程）功能
为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

重要概念

认证
是为用户建立一个他所声明的主体。主体一般是指用户，设备或可以在你系 统中执行动作的其他系统。
登录过程

授权
指的是一个用户能否在你的应用中执行某个操作，在到达授权判断之前，身份的主题已经由身份验证过程建立了。
当前登录用户可以具有哪些权限

快速入门

1.创建创建springSecurityPro项目(War工程)

2.导入SpringSecurity的pom文件

 <properties><spring.version>5.0.2.RELEASE</spring.version><spring.security.version>5.0.1.RELEASE</spring.security.version></properties><dependencies><dependency><groupId>org.springframework</groupId><artifactId>spring-core</artifactId><version>${spring.version}</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-web</artifactId><version>${spring.version}</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-webmvc</artifactId><version>${spring.version}</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-context-support</artifactId><version>${spring.version}</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-test</artifactId><version>${spring.version}</version></dependency><dependency><groupId>org.springframework</groupId><artifactId>spring-jdbc</artifactId><version>${spring.version}</version></dependency><dependency><groupId>org.springframework.security</groupId><artifactId>spring-security-web</artifactId><version>${spring.security.version}</version></dependency><dependency><groupId>org.springframework.security</groupId><artifactId>spring-security-config</artifactId><version>${spring.security.version}</version></dependency><dependency><groupId>org.springframework.security</groupId><artifactId>spring-security-taglibs</artifactId><version>${spring.security.version}</version></dependency><dependency><groupId>javax.servlet</groupId><artifactId>javax.servlet-api</artifactId><version>3.1.0</version><scope>provided</scope></dependency></dependencies>

3.在resources中创建配置spring-security.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"xmlns:security="http://www.springframework.org/schema/security"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://www.springframework.org/schema/beanshttp://www.springframework.org/schema/beans/spring-beans.xsdhttp://www.springframework.org/schema/securityhttp://www.springframework.org/schema/security/spring-security.xsd"><!--配置拦截的规则auto-config="使用自带的页面"use-expressions="是否使用spel表达式"，如果使用表达式：hasRole('ROLE_USER')--><security:http auto-config="true" use-expressions="false"><!-- 配置拦截的请求地址，任何请求地址都必须有ROLE_USER的权限 --><security:intercept-url pattern="/**" access="ROLE_USER"/></security:http><!-- 配置认证信息 --><security:authentication-manager><!--认证信息的提供者--><security:authentication-provider><!--用户的服务对象--><security:user-service><!--用户信息, 是临时账号和密码--><!--noop:不使用加密  authorities:指定用户认证的角色--><security:user name="admin" password="{noop}admin" authorities="ROLE_USER"/></security:user-service></security:authentication-provider></security:authentication-manager>
</beans>

参数说明

1. auto-config
   使用自带的页面
2. use-expressions
   是否使用spel表达式
   如果使用表达式：hasRole(‘ROLE_USER’)
3. pattern
   配置拦截的请求地址
4. access
   可以访问的角色
5. noop
   是否使用加密
6. authorities
   指定用户认证的角色,要用ROLE_开头

4.配置web.xml

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"version="3.1"><!--Spring监听器指定配置文件位置--><context-param><param-name>contextConfigLocation</param-name><param-value>classpath:spring-security.xml</param-value></context-param><!--创建Spring容器对象--><listener><listener-class>org.springframework.web.context.ContextLoaderListener</listener-class></listener><!--配置委派代理过滤器： filter-name必须是：springSecurityFilterChain  --><filter><filter-name>springSecurityFilterChain</filter-name><filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class></filter><filter-mapping><filter-name>springSecurityFilterChain</filter-name><url-pattern>/*</url-pattern></filter-mapping></web-app>

测试
配置Tomcat

配置自定义登录页面

创建login.jsp/error.jsp/success.jsp

login.jsp

<h1>登录页面</h1>
<form action="login" method="post"><table><tr><td>用户名：</td><td><input type="text" name="username"/></td></tr><tr><td>密码：</td><td><input type="password" name="password"/></td></tr><tr><td colspan="2" align="center"><input type="submit" value="登录"/><input type="reset" value="重置"/></td></tr></table>
</form>

error.jsp

	<h1>登录失败</h1>

success.jsp

success <br>
<a href="/logout">退出</a>

配置不拦截静态资源

  <!-- 不拦截静态资源 --><security:http pattern="/css/**" security="none"/><security:http pattern="/img/**" security="none"/>

配置不拦截指定页面

    <!-- 配置不拦截指定页面 --><security:http pattern="/login.jsp" security="none"/><security:http pattern="/error.jsp" security="none"/>

配置默认登录请求页面

<security:http auto-config="true" use-expressions="false"><!-- 配置拦截的请求地址，任何请求地址都必须有ROLE_USER的权限 --><security:intercept-url pattern="/**" access="ROLE_USER"/><!-- 配置具体的页面跳转login-page:指定登录页面login-processing-url:登录请求路径default-target-url:登录成功后进入的页面authentication-failure-url:登录失败后进入的页面--><security:form-loginlogin-page="/login.jsp"login-processing-url="/login"always-use-default-target="true"default-target-url="/success.jsp"authentication-failure-url="/error.jsp"/><!-- 关闭跨域请求 --><security:csrf disabled="true"/><!-- 退出invalidate-session:是否刷新sessionlogout-url:退出请求地址logout-success-url:退出成功后访问的页面--><security:logout invalidate-session="true"logout-url="/logout"logout-success-url="/login.html"/></security:http>

spring-security.xml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"xmlns:security="http://www.springframework.org/schema/security"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://www.springframework.org/schema/beanshttp://www.springframework.org/schema/beans/spring-beans.xsdhttp://www.springframework.org/schema/securityhttp://www.springframework.org/schema/security/spring-security.xsd"><!-- 不拦截静态资源 --><security:http pattern="/css/**" security="none"/><security:http pattern="/img/**" security="none"/><!-- 配置不拦截指定页面 --><security:http pattern="/login.jsp" security="none"/><security:http pattern="/error.jsp" security="none"/><!--配置拦截的规则auto-config="使用自带的页面"use-expressions="是否使用spel表达式"，如果使用表达式：hasRole('ROLE_USER')--><security:http auto-config="true" use-expressions="false"><!-- 配置拦截的请求地址，任何请求地址都必须有ROLE_USER的权限 --><security:intercept-url pattern="/**" access="ROLE_USER"/><!-- 配置具体的页面跳转login-page:指定登录页面login-processing-url:登录请求路径default-target-url:登录成功后进入的页面authentication-failure-url:登录失败后进入的页面--><security:form-loginlogin-page="/login.jsp"login-processing-url="/login"always-use-default-target="true"default-target-url="/success.jsp"authentication-failure-url="/error.jsp"/><!-- 关闭跨域请求 --><security:csrf disabled="true"/><!-- 退出invalidate-session:是否刷新sessionlogout-url:退出请求地址logout-success-url:退出成功后访问的页面--><security:logout invalidate-session="true"logout-url="/logout"logout-success-url="/login.html"/></security:http><!-- 配置认证信息 --><security:authentication-manager><!--认证信息的提供者--><security:authentication-provider><!--用户的服务对象--><security:user-service><!--用户信息, 是临时账号和密码--><!--noop:不使用加密  authorities:指定用户认证的角色--><security:user name="admin" password="{noop}admin" authorities="ROLE_USER"/></security:user-service></security:authentication-provider></security:authentication-manager></beans>

获取登录用户名

@RequestMapping("/loginName")public Map showName() {String name = SecurityContextHolder.getContext().getAuthentication().getName();Map map = new HashMap();map.put("username", name);return map;}

自定义认证类

注释认证提供

编写一个类实现UserDetailsService接口

public class UserDetailServiceImpl implements UserDetailsService {@Overridepublic UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {return null;}
}

配置自定义认证类

 <!-- 配置认证管理器 --><authentication-manager><!-- 认证的提供者 --><authentication-provider user-service-ref="userDetailService"><!-- <user-service><user name="admin" password="{noop}1234" authorities="ROLE_SELLER"/><user name="wc" password="{noop}1234" authorities="ROLE_SELLER"/></user-service>--></authentication-provider></authentication-manager><beans:bean id="userDetailService" class="com.fmjava.core.service.UserDetailServiceImpl"></beans:bean>

查询数据库取出登录用户

@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {/*定义权限集合*/ArrayList<GrantedAuthority> authList = new ArrayList<>();authList.add(new SimpleGrantedAuthority("ROLE_SELLER"));// ROLE_SELLER 权限名称if(username==null){return null;}/*根据用户名查询数据库*/Seller seller = sellerService.sellerdetail(username);return new User(username, "{noop}"+seller.getPassword(), authList);//没有加密 {noop}

加密处理

注册时密码进行加密

配置加密工具类

	<beans:bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"></beans:bean>

注册保存时,对密码进行加密处理

			 //获取明文密码String password = seller.getPassword();//对明文密码进行加密String securityPassword = passwordEncoder.encode(password);//把加密后的密码存储到seller对象中seller.setPassword(securityPassword);

配置加密

<password-encoder ref="passwordEncoder"></password-encoder>

去除{noop}