Spring Security实现用户名密码验证的原理

title: Spring Security
date: 2019-08-05 16:40:27
categories:

后端
tags:
后端
权限管理

Spring Security

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架（简单说是对访问权限进行控制嘛）。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。
核心：认证和授权
RBAC基于角色的访问控制
安全配置类，集成WebSecurityConfigurerAdapter

package com.waylau.spring.boot.blog.config;import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;/*** Spring Security 配置类.* * @since 1.0.0 2017年3月8日* @author <a href="https://waylau.com">Way Lau</a>*/
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true) // 启用方法安全设置
public class SecurityConfig extends WebSecurityConfigurerAdapter {private static final String KEY = "waylau.com";@Autowiredprivate UserDetailsService userDetailsService;@Autowiredprivate PasswordEncoder passwordEncoder;@Bean  public PasswordEncoder passwordEncoder() {  return new BCryptPasswordEncoder();   // 使用 BCrypt 加密}  @Bean  public AuthenticationProvider authenticationProvider() {  DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider();authenticationProvider.setUserDetailsService(userDetailsService);authenticationProvider.setPasswordEncoder(passwordEncoder); // 设置密码加密方式return authenticationProvider;  }  /*** 自定义配置，设置访问路径，并且静止h2控制台的csrf防护*/@Overrideprotected void configure(HttpSecurity http) throws Exception {http.authorizeRequests().antMatchers("/css/**", "/js/**", "/fonts/**", "/index").permitAll() // 都可以访问.antMatchers("/h2-console/**").permitAll() // 都可以访问.antMatchers("/admins/**").hasRole("ADMIN") // 需要相应的角色才能访问.and().formLogin()   //基于 Form 表单登录验证.loginPage("/login").failureUrl("/login-error") // 自定义登录界面.and().rememberMe().key(KEY) // 启用 remember me.and().exceptionHandling().accessDeniedPage("/403");  // 处理异常，拒绝访问就重定向到 403 页面http.csrf().ignoringAntMatchers("/h2-console/**"); // 禁用 H2 控制台的 CSRF 防护http.headers().frameOptions().sameOrigin(); // 允许来自同一来源的H2 控制台的请求}/*** 认证信息管理* @param auth* @throws Exception*/@Autowiredpublic void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {auth.userDetailsService(userDetailsService);auth.authenticationProvider(authenticationProvider());}
}

html代码示例

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml"xmlns:th="http://www.thymeleaf.org"xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity4">
<head>
</head>
<body><div sec:authorize="isAuthenticated()">这里就是判断是否认证的样子<p>已登录</p><p>登录名：<span sec:authentication="name"></span></p><p>Password：<span sec:authentication="principal.password"></span></p><div sec:authentication="principal.authorities"></div> <!-- works fine --><p>Email ：<span sec:authentication="principal.email"></span></p><p>Name：<span sec:authentication="principal.username"></span></p><p>Status：<span sec:authentication="principal.status"></span></p><p>拥有的角色：<span sec:authorize="hasRole('ROLE_ADMIN')">管理员</span><span sec:authorize="hasRole('ROLE_USER')">用户</span></p></div><div sec:authorize="isAnonymous"><p>未登录</p></div>
</body>
</html>

有一个问题需要注意，如果你是ADMIN，在数据库里面必须储存ROLE_ADMIN,其他云云。

同时，在security中，角色和权限共用GrantedAuthorty接口，唯一不同就是角色有个前缀ROLE_,

package org.springframework.security.core.authority;import org.springframework.security.core.GrantedAuthority;
import org.springframework.util.Assert;public final class SimpleGrantedAuthority implements GrantedAuthority {private static final long serialVersionUID = 500L;private final String role;public SimpleGrantedAuthority(String role) {Assert.hasText(role, "A granted authority textual representation is required");this.role = role;}public String getAuthority() {return this.role;}public boolean equals(Object obj) {if (this == obj) {return true;} else {return obj instanceof SimpleGrantedAuthority ? this.role.equals(((SimpleGrantedAuthority)obj).role) : false;}}public int hashCode() {return this.role.hashCode();}public String toString() {return this.role;}
}

实例操作，假如用户和权限分开

package com.waylau.spring.boot.blog.domain;import javax.persistence.Column;
import javax.persistence.Entity;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;import org.springframework.security.core.GrantedAuthority;/*** 权限.*/
@Entity // 实体
public class Authority implements GrantedAuthority {private static final long serialVersionUID = 1L;@Id // 主键@GeneratedValue(strategy = GenerationType.IDENTITY) // 自增长策略private Long id; // 用户的唯一标识@Column(nullable = false) // 映射为字段，值不能为空private String name;public Long getId() {return id;}public void setId(Long id) {this.id = id;}/** (non-Javadoc)* * @see org.springframework.security.core.GrantedAuthority#getAuthority()*/@Overridepublic String getAuthority() {return name;}public void setName(String name) {this.name = name;}
}
package com.waylau.spring.boot.blog.domain;import java.io.Serializable;
import java.util.ArrayList;
import java.util.Collection;
import java.util.List;import javax.persistence.CascadeType;
import javax.persistence.Column;
import javax.persistence.Entity;
import javax.persistence.FetchType;
import javax.persistence.GeneratedValue;
import javax.persistence.GenerationType;
import javax.persistence.Id;
import javax.persistence.JoinColumn;
import javax.persistence.JoinTable;
import javax.persistence.ManyToMany;
import javax.validation.constraints.Size;import org.hibernate.validator.constraints.Email;
import org.hibernate.validator.constraints.NotEmpty;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;/*** User 实体* * @since 1.0.0 2017年3月5日* @author <a href="https://waylau.com">Way Lau</a>*/
@Entity // 实体
public class User implements UserDetails, Serializable {
//springsecurity要求的实现方法private static final long serialVersionUID = 1L;@Id // 主键@GeneratedValue(strategy = GenerationType.IDENTITY) // 自增长策略private Long id; // 用户的唯一标识@NotEmpty(message = "姓名不能为空")@Size(min=2, max=20)@Column(nullable = false, length = 20) // 映射为字段，值不能为空private String name;@NotEmpty(message = "邮箱不能为空")@Size(max=50)@Email(message= "邮箱格式不对" ) @Column(nullable = false, length = 50, unique = true)private String email;@NotEmpty(message = "账号不能为空")@Size(min=3, max=20)@Column(nullable = false, length = 20, unique = true)private String username; // 用户账号，用户登录时的唯一标识@NotEmpty(message = "密码不能为空")@Size(max=100)@Column(length = 100)private String password; // 登录时密码@Column(length = 200)private String avatar; // 头像图片地址
//用户和权限的关系，必须把他们连接在一起@ManyToMany(cascade = CascadeType.DETACH, fetch = FetchType.EAGER)@JoinTable(name = "user_authority", joinColumns = @JoinColumn(name = "user_id", referencedColumnName = "id"), inverseJoinColumns = @JoinColumn(name = "authority_id", referencedColumnName = "id"))private List<Authority> authorities;protected User() { // JPA 的规范要求无参构造函数；设为 protected 防止直接使用}public User(String name, String email,String username,String password) {this.name = name;this.email = email;this.username = username;this.password = password;}public Long getId() {return id;}public void setId(Long id) {this.id = id;}public String getName() {return name;}public void setName(String name) {this.name = name;}public String getEmail() {return email;}public void setEmail(String email) {this.email = email;}//用户权限实现信息public Collection<? extends GrantedAuthority> getAuthorities() {//  需将 List<Authority> 转成 List<SimpleGrantedAuthority>，否则前端拿不到角色列表名称List<SimpleGrantedAuthority> simpleAuthorities = new ArrayList<>();for(GrantedAuthority authority : this.authorities){simpleAuthorities.add(new SimpleGrantedAuthority(authority.getAuthority()));}return simpleAuthorities;}public void setAuthorities(List<Authority> authorities) {this.authorities = authorities;}@Overridepublic String getUsername() {return username;}public void setUsername(String username) {this.username = username;}@Overridepublic String getPassword() {return password;}public void setPassword(String password) {this.password = password;}public void setEncodePassword(String password) {PasswordEncoder  encoder = new BCryptPasswordEncoder();String encodePasswd = encoder.encode(password);this.password = encodePasswd;}public String getAvatar() {return avatar;}public void setAvatar(String avatar) {this.avatar = avatar;}
//改成true方法，@Overridepublic boolean isAccountNonExpired() {return true;}@Overridepublic boolean isAccountNonLocked() {return true;}@Overridepublic boolean isCredentialsNonExpired() {return true;}@Overridepublic boolean isEnabled() {return true;}@Overridepublic String toString() {return String.format("User[id=%d, username='%s', name='%s', email='%s', password='%s']", id, username, name, email,password);}
}
请看User实现了UserDetail方法里面有很多方法，有获得用户名和密码的方法，还有权限方法，所以推测UserDetails的实现类就是验证对的方式

详细原理

主要类，用来验证密码的类

public void configure(AuthenticationManagerBuilder auth) throws Exception {if (auth.isConfigured()) {return;}UserDetailsService userDetailsService = getBeanOrNull(UserDetailsService.class);if (userDetailsService == null) {return;}PasswordEncoder passwordEncoder = getBeanOrNull(PasswordEncoder.class);DaoAuthenticationProvider provider = new DaoAuthenticationProvider();provider.setUserDetailsService(userDetailsService);if (passwordEncoder != null) {provider.setPasswordEncoder(passwordEncoder);}auth.authenticationProvider(provider);}

config类示例

package com.waylau.spring.boot.blog.config;import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;/*** Spring Security 配置类.* * @since 1.0.0 2017年3月8日* @author <a href="https://waylau.com">Way Lau</a>*/
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true) // 启用方法安全设置
public class SecurityConfig extends WebSecurityConfigurerAdapter {private static final String KEY = "waylau.com";@Autowiredprivate UserDetailsService userDetailsService;@Autowiredprivate PasswordEncoder passwordEncoder;@Bean  public PasswordEncoder passwordEncoder() {  return new BCryptPasswordEncoder();   // 使用 BCrypt 加密}  @Bean  public AuthenticationProvider authenticationProvider() {  DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider();authenticationProvider.setUserDetailsService(userDetailsService);authenticationProvider.setPasswordEncoder(passwordEncoder); // 设置密码加密方式return authenticationProvider;  }  /*** 自定义配置*///实际上的登录表单提交按钮，最终提交的是在这个地方@Overrideprotected void configure(HttpSecurity http) throws Exception {http.authorizeRequests().antMatchers("/css/**", "/js/**", "/fonts/**", "/index").permitAll() // 都可以访问.antMatchers("/h2-console/**").permitAll() // 都可以访问.antMatchers("/admins/**").hasRole("ADMIN") // 需要相应的角色才能访问.and().formLogin()   //基于 Form 表单登录验证.loginPage("/login").failureUrl("/login-error") // 自定义登录界面，失败后重定向到这里.and().rememberMe().key(KEY) // 启用 remember me.and().exceptionHandling().accessDeniedPage("/403");  // 处理异常，拒绝访问就重定向到 403 页面http.csrf().ignoringAntMatchers("/h2-console/**"); // 禁用 H2 控制台的 CSRF 防护http.headers().frameOptions().sameOrigin(); // 允许来自同一来源的H2 控制台的请求}/*** 认证信息管理* @param auth* @throws Exception*/@Autowiredpublic void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {auth.userDetailsService(userDetailsService);auth.authenticationProvider(authenticationProvider());}
}

查看全文
如若内容造成侵权/违法违规/事实不符，请联系编程学习网邮箱：809451989@qq.com进行投诉反馈，一经查实，立即删除！

获取/使用偏好设置文件共有3种方式
1)Context类中定义了一个方法： getSharedPerference(偏好设置文件名称，Mode); 一般Mode的取值Contex.Mode_PRIVATE 2)Activity类中定义了一个方法： getPreference（Mode）；用这种方式获取的偏好设置文件的名字与调用该方法的Activity的类名一致 3）PreferenceManager类中有…...
2024/4/28 6:14:41
ssm整合中springSecurity的基本权限管理设置
ssm整合中springSecurity的使用、配置页面控制、后台控制Two）： https://blog.csdn.net/wilson27/article/details/89922412 一、Spring Security安全框架 1.1 权限管理概述 BRAC的模型：基于角色的访问控制模型。1.2 Security框架基本介绍 Spring Security 的前身是 Acegi Se…...
2024/4/28 2:00:09
原生开发小程序和 wepy 、 mpvue 对比
原生开发小程序和 wepy 、 mpvue 对比本文横向对比、探讨了下原生开发小程序，和目前比较热门的 wepy 、mpvue 开发小程序三种方式的优势和劣势；由于三者的篇幅都比较多，本文只是简单介绍。如有错误，请大神们指正。三者的开发文档以及介绍：原生开发小程序文档：点此进入 …...
2024/4/28 14:15:16
关于winsock：Internet协议版本6（IPv6）
确保新的Winsock应用程序以及现有应用程序与IPv6完全兼容非常重要。 2011年，亚洲和太平洋地区用于新IPv4地址分配的IPv4地址空间的可用性已经用尽。预计世界其他地区将在几年内耗尽。使用IPv6地址可以获得越来越多的新网站和服务。新兴市场中的许多互联网用户依赖IPv6进行互联…...
2024/4/28 6:20:35
iOS PDF的显示和浏览
方法一：利用webview-(void)loadDocument:(NSString *)documentName inView:(UIWebView *)webView { NSString *path = [[NSBundle mainBundle] pathForResource:documentName ofType:nil]; NSURL *url = [NSURL fileURLWithPath:path]; NSURLRequest *request = [NSURLRe…...
2024/4/16 22:10:10
windows7 TCP/IP重置
netsh int ip reset resetlog.txt...
2024/4/16 22:09:58
pat L1-039. 古风排版
pat L1-039. 古风排版#include<bits/stdc++.h> using namespace std;int main() {string s;int n;scanf("%d",&n);getchar();getline(cin, s);int l = s.length();int c = l%n ? l/n+1 : l/n;//cout << c << endl;char ch[1007][1007];int k…...
2024/4/16 22:09:10
wepy 开发文档
快速入门 1，项目创建和使用安装wepy，一下都是通过npm安装 npm install wepy-cli -g 2，在开发目录生成开发DEMO。 wepy new project 3，开发实时编译 wepy build --watch 4,项目目录结构 distnode_modulessrccomp…...
2024/4/16 22:10:46
SpringBoot2.1.7整合SpringSecurity系列（一）
一前言安全管理框架中，Shiro和SpringSecurity都是响当当的存在。相对于 Shiro，在 SSM/SSH 中整合 Spring Security 都是比较麻烦的操作，所以，Spring Security 虽然功能比 Shiro 强大，但是使用反而没有 Shiro 多（Shiro 虽然功能没有 Spring Security 多，但是对于大部分…...
2024/4/16 22:09:58
iBooks 一样的翻书效果
FQ看一下这个：http://wdnuon.blogspot.com/2010/05/implementing-ibooks-page-curling-using.html 转载于:https://www.cnblogs.com/abob/articles/1977376.html...
2024/4/16 22:08:58
[android]关于SharedPreferences putString和commit的使用注意事项
今天遇到一个问题SharedPreferences 写不进XML文件,里面没有字段。代码是这样的: SharedPreferences sp = (SharedPreferences ) PreferenceManager.getDefaultSharedPreferences(this); sp.edit().putString("soundPath", path); sp.edit().commit();后来发现putSt…...
2024/4/16 22:09:58
wepy
安装 npm install -g wepy-cli 创建一个空的模板 wepy init empty wepydemo01起一个项目名称（不可以大写） AppId (touristappid) Appid Project description (A WePY project) 项目描述 Use ESLint to lint your code? (Y/n) 是否使用eslint规范代码 package.json文件是需要…...
2024/3/31 22:34:34
NETSH WINSOCK RESET这个命令的意义和效果？
简要地netsh winsock reset命令含义复位 Winsock 文件夹。一机多用的假设Winsock协议配置问题，那么问题会导致网络连接，我们需要使用netsh winsock reset命令重置Winsock使之恢复网络文件夹。 winsock这是windows网络编程接口，从Windows XP SP2启动建立了一个命令netsh。 ne…...
2024/4/24 17:24:46
创新！全球第二大出版商推iPad电子书
2010年03月05日 04:00 泡泡网【编译】作者:泡泡产品论坛编辑:彭辉随着电子书格式的标准之争日趋白热化，Penguin近期作出大胆决定，公司将推出支持iPad 电子书，用户有望从苹果公司的iBook商店购买，Penguin出版社CEO John Makinson曾在本周早些时候向业界展示了该款电子图…...
2024/4/18 11:30:43
Spring Security入门（三）：密码加密
前文导读- Spring Security入门（一）：登录与退出- Spring Security入门（二）：基于数据库验证Github 地址https://github.com/ChinaSilence/any-spring-security 本文对应 security-login-db-encryptPWD摘要解决2个问题：注册时密码加密后存入数据库登录时密码加密校验运行程…...
2024/4/20 14:53:08
7-7 古风排版（20 分)
7-7 古风排版（20 分)中国的古人写文字，是从右向左竖向排版的。本题就请你编写程序，把一段文字按古风排版。输入格式：输入在第一行给出一个正整数N（<100），是每一列的字符数。第二行给出一个长度不超过1000的非空字符串，以回车结束。输出格式：按古风格式排版给定的字…...
2024/4/19 8:57:48
win7/xp winsock 修复
为 Windows7重置 Winsock 要为 Windows 7 重置 Winsock，请按照下列步骤操作：单击收起这个图片展开这个图片，在开始搜索框中键入 cmd，右键单击“cmd.exe”，单击“以管理员身份运行”，然后按“继续”。在命令提示符处键入 netsh winsock reset，然后按 Enter。修复完成后…...
2024/4/16 22:10:04
springcloud+gateway(zuul)+springsecurity+jwt实现简单的认证授权
前段时间一直在研究微服务的认证和授权的方式，网上给了大致4种模式，感觉配置起来都不是很得心应手，偶然间看到了一个简单且较为完整的jwt+springsecurity的配置方式，这里先给出参考的github上的源码：https://github.com/shuaicj/zuul-auth-example但跟着配置后，问题还是很…...
2024/4/19 22:39:02
0117 - 深耕 iBooks 标注导入
Klib 已经可以从 iBooks 中导入标注和笔记了，不过还有一些进阶的工作可以做：解析 ePub 数据结构，识别页码，使得排序准确。 iBooks 会将大段标注拆分存储，目前 Klib 导入时也是拆分着导入。计划将相关的标注合并起来导入，还得适配已经导入的标注，有点麻烦。在 iBooks 中…...
2024/4/16 22:11:16
Android SharePreferences源码解读
前言在安卓开发中经常被用到，它是一个轻量级的存储类，通过key——value的形式用于保存一些配置参数。下面通过源码分析SharePreferences 主要类首先介绍源码的分析过程中涉及到的一些类PreferenceManager：静态方法通过传入Context获取一个SharedPreferences实例 ContextIm…...
2024/4/16 22:10:46

Spring Security实现用户名密码验证的原理

Spring Security

相关文章

最新文章