SpringSecurity入門

来源:https://www.cnblogs.com/wandaren/archive/2022/10/29/16838602.html
-Advertisement-
Play Games

1、引入依賴 spring-boot版本2.7.3，如未特殊說明版本預設使用此版本 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactI ...


1、引入依賴

spring-boot版本2.7.3，如未特殊說明版本預設使用此版本

      <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
  			<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-test</artifactId>
            <scope>test</scope>
        </dependency>

2、編寫controller並啟動springboot服務

@RestController
public class HelloController {

    @GetMapping("/")
    public String hello(){
        return "hello SpringSecurity";
    }
}
  • 啟動

image.png

  • 訪問http://localhost:8080/

image.png

  • 登陸使用賬號：user，密碼：04e74f23-0e97-4ee9-957e-2004a2e60692

image.png

  • SecurityProperties

image.png

3、自動配置SpringBootWebSecurityConfiguration

  • SecurityFilterChainConfiguration

image.png

  • WebSecurityConfigurerAdapter中有所有的Security相關的配置，只需要繼承重新對應屬性即可完成自定義
  • 由於新版本的Security已經棄用WebSecurityConfigurerAdapter所以註冊SecurityFilterChain即可
  @Bean
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return httpSecurity.authorizeRequests()
                .mvcMatchers("/index").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .and().build();
    }

image.png

4、預設登陸頁面DefaultLoginPageGeneratingFilter

image.png

4.1、SecurityFilterChainConfiguration預設實現的SecurityFilterChain

  • 容器中沒有WebSecurityConfigurerAdapter類型的bean實例自動配置才會生效

image.png

4.2、UsernamePasswordAuthenticationFilter

image.png

4.3、attemptAuthentication方法

image.png

4.4、 ProviderManager的authenticate方法

image.png

4.5、 AuthenticationProvider實現AbstractUserDetailsAuthenticationProvider中的authenticate方法

image.png

4.6、 UserDetails實現類DaoAuthenticationProvider的retrieveUser方法

image.png

4.7、UserDetailsService實現類InMemoryUserDetailsManager的loadUserByUsername方法

image.png

4.8、 UserDetailsService

image.png

4.9、 UserDetailsServiceAutoConfiguration

image.png

  • 容器中沒有：AuthenticationManager、AuthenticationProvider、UserDetailsService、AuthenticationManagerResolver這4個bean實例才會載入InMemoryUserDetailsManager

image.png
image.png

4.10、 SecurityProperties

image.png
image.png
image.png

  • 可以通過spring.security.user.password=123456自定義密碼

5、 自定義認證

5.1、由於新版本的Security已經棄用WebSecurityConfigurerAdapter所以註冊SecurityFilterChain即可

github示例

    @Bean
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return httpSecurity.authorizeRequests()
                .mvcMatchers("/index").permitAll()
                .anyRequest().authenticated()
                .and()
                .formLogin()
                .and().build();
    }

5.2、 自定義登陸頁面

5.2.1、html

  • 使用UsernamePasswordAuthenticationFilter用戶名和密碼欄位名必須是username和password，且必須是POST的方式提交

image.png

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/extras/spring-security">
<head>
    <meta charset="UTF-8">
    <title>login</title>
</head>
<body>
<form th:action="@{/doLogin}" method="post">
    <p>用戶名：<label>
        <input name="username" type="text"/>
    </label></p>
    <p>密碼：<label>
        <input name="password" type="password"/>
    </label></p>
    <p>
        <input type="submit">
    </p>
</form>

</body>
</html>

5.2.2、SecurityFilterChain配置

@Configuration
public class WebSecurityConfigurer {

    @Bean
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return
                //開啟許可權驗證
                httpSecurity.authorizeRequests()
                //permitAll直接放行，必須在anyRequest().authenticated()前面
                .mvcMatchers("/toLogin").permitAll()
                .mvcMatchers("/index").permitAll()
                //anyRequest所有請求都需要認證
                .anyRequest().authenticated()
                .and()
                //使用form表單驗證
                .formLogin()
                //自定義登陸頁面
                .loginPage("/toLogin")
                //自定義登陸頁面後必須指定處理登陸請求的url
                .loginProcessingUrl("/doLogin")
                .and()
                 //禁止csrf跨站請求保護
                .csrf().disable()
                .build();
    }

5.2.3、 controller

@Controller
public class LoginController {

    @RequestMapping("toLogin")
    public String toLogin(){
        return "login";
    }
}

5.2.4、 自定義登陸使用的用戶名和密碼欄位名使用usernameParameter和passwordParameter

@Configuration
public class WebSecurityConfigurer {

    @Bean
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return
                //開啟許可權驗證
                httpSecurity.authorizeRequests()
                //permitAll直接放行，必須在anyRequest().authenticated()前面
                .mvcMatchers("/toLogin").permitAll()
                .mvcMatchers("/index").permitAll()
                //anyRequest所有請求都需要認證
                .anyRequest().authenticated()
                .and()
                //使用form表單驗證
                .formLogin()
                //自定義登陸頁面
                .loginPage("/toLogin")
                //自定義登陸頁面後必須指定處理登陸請求的url
                .loginProcessingUrl("/doLogin")
//               自定義接收用戶名的參數名為uname
                .usernameParameter("uname")
//               自定義接收密碼的參數名為pwd
                .passwordParameter("pwd")
                .and()
                 //禁止csrf跨站請求保護
                .csrf().disable()
                .build();
    }
}
  • form表單中對應參數名也需要修改，用戶名為：uname，密碼為：pwd

image.png

5.3、 自定義認證成功後訪問的頁面

  • successForwardUrl（轉發）,必須使用POST請求，每次都會跳轉到指定請求
  • defaultSuccessUrl（重定向）,必須使用GET請求，不會每次都跳轉定義的頁面，預設會記錄認證攔截的請求，如果是攔截的受限資源會優先跳轉到之前被攔截的請求。需要每次都跳轉使用.defaultSuccessUrl("/test",true)即可

image.png

  • 二選一
//               登陸認證成功後跳轉的頁面（轉發）,必須使用POST請求
//                .successForwardUrl("/test")
//               陸認證成功後跳轉的頁面（重定向）,必須使用GET請求
                 .defaultSuccessUrl("/test",true)

5.4、 前後端分離處理方式

image.png

5.4.1、 實現AuthenticationSuccessHandler介面

public class MyAuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        Map<String,Object> map = new HashMap<>();
        map.put("msg", "登陸成功");
        map.put("code", HttpStatus.OK);
        map.put("authentication", authentication);
        String s = new ObjectMapper().writeValueAsString(map);
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().write(s);
    }
}

5.4.2、修改SecurityFilterChain配置

  • 使用successHandler(new MyAuthenticationSuccessHandler())
@Configuration
public class WebSecurityConfigurer {

    @Bean
    @SuppressWarnings("all")
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return
                //開啟許可權驗證
                httpSecurity.authorizeRequests()
                //permitAll直接放行，必須在anyRequest().authenticated()前面
                .mvcMatchers("/toLogin").permitAll()
                .mvcMatchers("/index").permitAll()
                //anyRequest所有請求都需要認證
                .anyRequest().authenticated()
                .and()
                //使用form表單驗證
                .formLogin()
                //自定義登陸頁面
                .loginPage("/toLogin")
                //自定義登陸頁面後必須指定處理登陸請求的url
                .loginProcessingUrl("/doLogin")
//               自定義接收用戶名的參數名為uname
                .usernameParameter("uname")
//               自定義接收密碼的參數名為pwd
                .passwordParameter("pwd")
//               登陸認證成功後跳轉的頁面（轉發）,必須使用POST請求
//                .successForwardUrl("/test")
//               陸認證成功後跳轉的頁面（轉發）,必須使用GET請求
//                 .defaultSuccessUrl("/test",true)
                 //不會每次都跳轉定義的頁面，預設會記錄認證攔截的請求，如果是攔截的受限資源會優先跳轉到之前被攔截的請求。需要每次都跳轉使defaultSuccessUrl("/test",true)
//                 .defaultSuccessUrl("/test")
//                前後端分離時代自定義認證成功處理
                .successHandler(new MyAuthenticationSuccessHandler())
                .and()
                 //禁止csrf跨站請求保護
                .csrf().disable()
                .build();
    }
}

5.4.3、返回數據

image.png

6、 認證失敗處理

  • failureForwardUrl，轉發，請求必須是POST
  • failureUrl，重定向，請求必須是GET

6.1、org.springframework.security.authentication.ProviderManager#authenticate

image.png

6.2、 org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter#doFilter(javax.servlet.http.HttpServletRequest, javax.servlet.http.HttpServletResponse, javax.servlet.FilterChain)

image.png

6.3、 org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter#unsuccessfulAuthentication

image.png

6.4、 org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler#onAuthenticationFailure

image.png

6.5、 org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler#saveException

image.png

  • 如果是轉發異常信息存在request裡面
  • 如果是重定向異常信息存在session裡面，預設是重定向
  • 參數名：SPRING_SECURITY_LAST_EXCEPTION

6.7、 前端取值展示

  • 修改SecurityFilterChain配置
@Configuration
public class WebSecurityConfigurer {

    @Bean
    @SuppressWarnings("all")
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return
                //開啟許可權驗證
                httpSecurity.authorizeRequests()
                //permitAll直接放行，必須在anyRequest().authenticated()前面
                .mvcMatchers("/toLogin").permitAll()
                .mvcMatchers("/index").permitAll()
                //anyRequest所有請求都需要認證
                .anyRequest().authenticated()
                .and()
                //使用form表單驗證
                .formLogin()
                //自定義登陸頁面
                .loginPage("/toLogin")
                //自定義登陸頁面後必須指定處理登陸請求的url
                .loginProcessingUrl("/doLogin")
//               自定義接收用戶名的參數名為uname
                .usernameParameter("uname")
//               自定義接收密碼的參數名為pwd
                .passwordParameter("pwd")
//               登陸認證成功後跳轉的頁面（轉發）,必須使用POST請求
//                .successForwardUrl("/test")
//               陸認證成功後跳轉的頁面（轉發）,必須使用GET請求
//                 .defaultSuccessUrl("/test",true)
                 //不會每次都跳轉定義的頁面，預設會記錄認證攔截的請求，如果是攔截的受限資源會優先跳轉到之前被攔截的請求。需要每次都跳轉使defaultSuccessUrl("/test",true)
//                 .defaultSuccessUrl("/test")
//                前後端分離時代自定義認證成功處理
                .successHandler(new MyAuthenticationSuccessHandler())
//               認證失敗跳轉頁面，必須使用POST請求         
                .failureForwardUrl("/toLogin")
            //  認證失敗跳轉頁面，,必須使用GET請求
                // .failureUrl("/toLogin")
                .and()
                 //禁止csrf跨站請求保護
                .csrf().disable()
                .build();
    }
}
  • html增加取值
<!--  重定向錯誤信息存在session中  -->
<p th:text="${session.SPRING_SECURITY_LAST_EXCEPTION}"></p>
<!--  轉發錯誤信息存在request中  -->
<p th:text="${SPRING_SECURITY_LAST_EXCEPTION}"></p>

6.8、 前後端分離處理方式

image.png

6.8.1、 實現AuthenticationFailureHandler介面

public class MyAuthenticationFailureHandler implements AuthenticationFailureHandler {
    @Override
    public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
        Map<String,Object> map = new HashMap<>();
        map.put("msg", exception.getMessage());
        map.put("code", HttpStatus.INTERNAL_SERVER_ERROR.value());
        String s = new ObjectMapper().writeValueAsString(map);
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().write(s);
    }
}

6.8.2、修改SecurityFilterChain配置

  • failureHandler
@Configuration
public class WebSecurityConfigurer {

    @Bean
    @SuppressWarnings("all")
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return
                //開啟許可權驗證
                httpSecurity.authorizeRequests()
                //permitAll直接放行，必須在anyRequest().authenticated()前面
                .mvcMatchers("/toLogin").permitAll()
                .mvcMatchers("/index").permitAll()
                //anyRequest所有請求都需要認證
                .anyRequest().authenticated()
                .and()
                //使用form表單驗證
                .formLogin()
                //自定義登陸頁面
                .loginPage("/toLogin")
                //自定義登陸頁面後必須指定處理登陸請求的url
                .loginProcessingUrl("/doLogin")
//               自定義接收用戶名的參數名為uname
                .usernameParameter("uname")
//               自定義接收密碼的參數名為pwd
                .passwordParameter("pwd")
//               登陸認證成功後跳轉的頁面（轉發）,必須使用POST請求
//                .successForwardUrl("/test")
//               陸認證成功後跳轉的頁面（轉發）,必須使用GET請求
//                 .defaultSuccessUrl("/test",true)
                 //不會每次都跳轉定義的頁面，預設會記錄認證攔截的請求，如果是攔截的受限資源會優先跳轉到之前被攔截的請求。需要每次都跳轉使defaultSuccessUrl("/test",true)
//                 .defaultSuccessUrl("/test")
//                前後端分離時代自定義認證成功處理
                .successHandler(new MyAuthenticationSuccessHandler())
//               認證失敗跳轉頁面，必須使用POST請求
//                .failureForwardUrl("/toLogin")
//               認證失敗跳轉頁面，必須使用GET請求
//                 .failureUrl("/toLogin")
//               前後端分離時代自定義認證失敗處理
                .failureHandler(new MyAuthenticationFailureHandler())
                .and()
                 //禁止csrf跨站請求保護
                .csrf().disable()
                .build();
    }
}

7、 註銷登錄

7.1、 預設方式

.logout()
// 指定註銷url，預設請求方式GET
.logoutUrl("/logout")
// 註銷成功後跳轉頁面
.logoutSuccessUrl("/toLogin")

@Configuration
public class WebSecurityConfigurer {

    @Bean
    @SuppressWarnings("all")
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return
                //開啟許可權驗證
                httpSecurity.authorizeRequests()
                //permitAll直接放行，必須在anyRequest().authenticated()前面
                .mvcMatchers("/toLogin").permitAll()
                .mvcMatchers("/index").permitAll()
                //anyRequest所有請求都需要認證
                .anyRequest().authenticated()
                .and()
                //使用form表單驗證
                .formLogin()
                //自定義登陸頁面
                .loginPage("/toLogin")
                //自定義登陸頁面後必須指定處理登陸請求的url
                .loginProcessingUrl("/doLogin")
//               自定義接收用戶名的參數名為uname
                .usernameParameter("uname")
//               自定義接收密碼的參數名為pwd
                .passwordParameter("pwd")
//               登陸認證成功後跳轉的頁面（轉發）,必須使用POST請求
//                .successForwardUrl("/test")
//               陸認證成功後跳轉的頁面（轉發）,必須使用GET請求
//                 .defaultSuccessUrl("/test",true)
                 //不會每次都跳轉定義的頁面，預設會記錄認證攔截的請求，如果是攔截的受限資源會優先跳轉到之前被攔截的請求。需要每次都跳轉使defaultSuccessUrl("/test",true)
//                 .defaultSuccessUrl("/test")
//                前後端分離時代自定義認證成功處理
                .successHandler(new MyAuthenticationSuccessHandler())
//               認證失敗跳轉頁面，必須使用POST請求
//                .failureForwardUrl("/toLogin")
//               認證失敗跳轉頁面，必須使用GET請求
//                 .failureUrl("/toLogin")
//               前後端分離時代自定義認證失敗處理
                .failureHandler(new MyAuthenticationFailureHandler())
                .and()
//               註銷
                .logout()
//               指定註銷url，預設請求方式GET
                .logoutUrl("/logout")
//               銷毀session，預設為true
                .invalidateHttpSession(true)
//               清除認證信息，預設為true
                .clearAuthentication(true)
//               註銷成功後跳轉頁面
                .logoutSuccessUrl("/toLogin")
                .and()
                 //禁止csrf跨站請求保護
                .csrf().disable()
                .build();
    }
}

7.2、 自定義方式

// 註銷
.logout()
// 自定義註銷url
.logoutRequestMatcher(newOrRequestMatcher(
newAntPathRequestMatcher("/aa","GET"),
newAntPathRequestMatcher("/bb","POST")
))
// 註銷成功後跳轉頁面
.logoutSuccessUrl("/toLogin")

@Configuration
public class WebSecurityConfigurer {

    @Bean
    @SuppressWarnings("all")
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return
                //開啟許可權驗證
                httpSecurity.authorizeRequests()
                //permitAll直接放行，必須在anyRequest().authenticated()前面
                .mvcMatchers("/toLogin").permitAll()
                .mvcMatchers("/index").permitAll()
                //anyRequest所有請求都需要認證
                .anyRequest().authenticated()
                .and()
                //使用form表單驗證
                .formLogin()
                //自定義登陸頁面
                .loginPage("/toLogin")
                //自定義登陸頁面後必須指定處理登陸請求的url
                .loginProcessingUrl("/doLogin")
//               自定義接收用戶名的參數名為uname
                .usernameParameter("uname")
//               自定義接收密碼的參數名為pwd
                .passwordParameter("pwd")
//               登陸認證成功後跳轉的頁面（轉發）,必須使用POST請求
//                .successForwardUrl("/test")
//               陸認證成功後跳轉的頁面（轉發）,必須使用GET請求
//                 .defaultSuccessUrl("/test",true)
                 //不會每次都跳轉定義的頁面，預設會記錄認證攔截的請求，如果是攔截的受限資源會優先跳轉到之前被攔截的請求。需要每次都跳轉使defaultSuccessUrl("/test",true)
//                 .defaultSuccessUrl("/test")
//                前後端分離時代自定義認證成功處理
                .successHandler(new MyAuthenticationSuccessHandler())
//               認證失敗跳轉頁面，必須使用POST請求
//                .failureForwardUrl("/toLogin")
//               認證失敗跳轉頁面，必須使用GET請求
//                 .failureUrl("/toLogin")
//               前後端分離時代自定義認證失敗處理
                .failureHandler(new MyAuthenticationFailureHandler())
                .and()
//               註銷
                .logout()
//               指定註銷url，預設請求方式GET
//                .logoutUrl("/logout")
                .logoutRequestMatcher(new OrRequestMatcher(
                        new AntPathRequestMatcher("/aa","GET"),
                        new AntPathRequestMatcher("/bb","POST")
                ))
//               銷毀session，預設為true
                .invalidateHttpSession(true)
//               清除認證信息，預設為true
                .clearAuthentication(true)
//               註銷成功後跳轉頁面
                .logoutSuccessUrl("/toLogin")
                .and()
                 //禁止csrf跨站請求保護
                .csrf().disable()
                .build();
    }
}

7.3、 前後端分離

image.png

7.3.1、 實現LogoutSuccessHandler介面

public class MyLogoutSuccessHandler implements LogoutSuccessHandler {

    @Override
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        Map<String,Object> map = new HashMap<>();
        map.put("msg", "註銷成功");
        map.put("code", HttpStatus.OK.value());
        map.put("authentication", authentication);
        String s = new ObjectMapper().writeValueAsString(map);
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().write(s);
    }
}

7.3.2、 修改SecurityFilterChain配置

  • logoutSuccessHandler
@Configuration
public class WebSecurityConfigurer {

    @Bean
    @SuppressWarnings("all")
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return
                //開啟許可權驗證
                httpSecurity.authorizeRequests()
                //permitAll直接放行，必須在anyRequest().authenticated()前面
                .mvcMatchers("/toLogin").permitAll()
                .mvcMatchers("/index").permitAll()
                //anyRequest所有請求都需要認證
                .anyRequest().authenticated()
                .and()
                //使用form表單驗證
                .formLogin()
                //自定義登陸頁面
                .loginPage("/toLogin")
                //自定義登陸頁面後必須指定處理登陸請求的url
                .loginProcessingUrl("/doLogin")
//               自定義接收用戶名的參數名為uname
                .usernameParameter("uname")
//               自定義接收密碼的參數名為pwd
                .passwordParameter("pwd")
//               登陸認證成功後跳轉的頁面（轉發）,必須使用POST請求
//                .successForwardUrl("/test")
//               陸認證成功後跳轉的頁面（轉發）,必須使用GET請求
//                 .defaultSuccessUrl("/test",true)
                 //不會每次都跳轉定義的頁面，預設會記錄認證攔截的請求，如果是攔截的受限資源會優先跳轉到之前被攔截的請求。需要每次都跳轉使defaultSuccessUrl("/test",true)
//                 .defaultSuccessUrl("/test")
//                前後端分離時代自定義認證成功處理
                .successHandler(new MyAuthenticationSuccessHandler())
//               認證失敗跳轉頁面，必須使用POST請求
//                .failureForwardUrl("/toLogin")
//               認證失敗跳轉頁面，必須使用GET請求
//                 .failureUrl("/toLogin")
//               前後端分離時代自定義認證失敗處理
                .failureHandler(new MyAuthenticationFailureHandler())
                .and()
//               註銷
                .logout()
//               指定預設註銷url，預設請求方式GET
//                .logoutUrl("/logout")
//               自定義註銷url
                .logoutRequestMatcher(new OrRequestMatcher(
                        new AntPathRequestMatcher("/aa","GET"),
                        new AntPathRequestMatcher("/bb","POST")
                ))
//               銷毀session，預設為true
                .invalidateHttpSession(true)
//               清除認證信息，預設為true
                .clearAuthentication(true)
//               註銷成功後跳轉頁面
//                .logoutSuccessUrl("/toLogin")
                .logoutSuccessHandler(new MyLogoutSuccessHandler())
                .and()
                 //禁止csrf跨站請求保護
                .csrf().disable()
                .build();
    }
}

8、獲取用戶認證信息

image.png

  • 三種策略模式，調整通過修改VM options
// 如果沒有設置自定義的策略，就採用MODE_THREADLOCAL模式
public static final String MODE_THREADLOCAL = "MODE_THREADLOCAL";
// 採用InheritableThreadLocal，它是ThreadLocal的一個子類，適用多線程的環境
public static final String MODE_INHERITABLETHREADLOCAL = "MODE_INHERITABLETHREADLOCAL";
// 全局策略，實現方式就是static SecurityContext contextHolder
public static final String MODE_GLOBAL = "MODE_GLOBAL";
  • image.png
-Dspring.security.strategy=MODE_INHERITABLETHREADLOCAL

image.png

8.1、 使用代碼獲取

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
User user = (User) authentication.getPrincipal();
System.out.println("身份信息：" + authentication.getPrincipal());
System.out.println("用戶：" + user.getUsername());
System.out.println("許可權信息：" + authentication.getAuthorities());

image.png

8.2、 前端頁面獲取

8.2.1、 引入依賴

  • 不需要版本號
        <dependency>
            <groupId>org.thymeleaf.extras</groupId>
            <artifactId>thymeleaf-extras-springsecurity5</artifactId>
        </dependency>

8.2.2、 導入命名空間，獲取數據

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/extras/spring-security">
<head>
    <meta charset="UTF-8">
    <title>login</title>
</head>
<body>
<form th:action="@{/bb}" method="post">
    <p>
        <input type="submit" value="註銷登陸">
    </p>
</form>

<hr>

<h2>獲取認證用戶信息</h2>

<ul>
<!--     <li sec:authentication="name"></li>-->
<!--     <li sec:authentication="authorities"></li>-->
<!--     <li sec:authentication="credentials"></li>-->
<!--     <li sec:authentication="authenticated"></li>-->
     <li sec:authentication="principal.username"></li>
     <li sec:authentication="principal.authorities"></li>
     <li sec:authentication="principal.accountNonExpired"></li>
     <li sec:authentication="principal.accountNonLocked"></li>
     <li sec:authentication="principal.credentialsNonExpired"></li>
</ul>


</body>
</html>

image.png

9、 自定義數據源

9.1、 流程分析

image.png
When the user submits their credentials, the AbstractAuthenticationProcessingFilter creates an Authentication from the HttpServletRequest to be authenticated. The type of Authentication created depends on the subclass of AbstractAuthenticationProcessingFilter. For example, UsernamePasswordAuthenticationFilter creates a UsernamePasswordAuthenticationToken from a username and password that are submitted in the HttpServletRequest.
Next, the Authentication is passed into the AuthenticationManager to be authenticated.
If authentication fails, then Failure

  • The SecurityContextHolder is cleared out.
  • RememberMeServices.loginFail is invoked. If remember me is not configured, this is a no-op.
  • AuthenticationFailureHandler is invoked.

If authentication is successful, then Success.

  • SessionAuthenticationStrategy is notified of a new log in.
  • The Authentication is set on the SecurityContextHolder. Later the SecurityContextPersistenceFilter saves the SecurityContext to the HttpSession.
  • RememberMeServices.loginSuccess is invoked. If remember me is not configured, this is a no-op.
  • ApplicationEventPublisher publishes an InteractiveAuthenticationSuccessEvent.
  • AuthenticationSuccessHandler is invoked.

image.png
image.png
image.png

9.2、 修改WebSecurityConfigurer

  @Autowired
    DataSource dataSource;


    @Bean
    public PasswordEncoder bcryptPasswordEncoder() {
        return PasswordEncoderFactories.createDelegatingPasswordEncoder();
    }


    public UserDetailsService users(PasswordEncoder encoder) {
        // The builder will ensure the passwords are encoded before saving in memory
        UserDetails user = User.withUsername("user")
                .password(encoder.encode("123"))
                .roles("USER")
                .build();
        UserDetails admin = User.withUsername("admin")
                .password(encoder.encode("123"))
                .roles("USER", "ADMIN")
                .build();
        return new InMemoryUserDetailsManager(user, admin);
    }


    public UserDetailsService users() {
        JdbcUserDetailsManager users = new JdbcUserDetailsManager(dataSource);
//        UserDetails admin = User.withUsername("齊豐")
//                .password(encoder.encode("123456"))
//                .roles("USER")
//                .build();
//        users.createUser(admin);
        System.out.println(dataSource.getClass());
        return users;
    }

9.3、 In-Memory Authentication

  • 修改SecurityFilterChain
  • 通過指定userDetailsService來切換不同的認證數據儲存方式
    @Bean
    @SuppressWarnings("all")
    SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {
        return
                //開啟許可權驗證
                httpSecurity
                        .authorizeRequests()
                        //permitAll直接放行，必須在anyRequest().authenticated()前面
                        .mvcMatchers("/toLogin").permitAll()
                        .mvcMatchers("/index").permitAll()
                        //anyRequest所有請求都需要認證
                        .anyRequest().authenticated()
                        .and()
                        //使用form表單驗證
                        .formLogin()
                        //自定義登陸頁面
                        .loginPage("/toLogin")
                        //自定義登陸頁面後必須指定處理登陸請求的url
                        .loginProcessingUrl("/doLogin")
//               自定義接收用戶名的參數名為uname
                        .usernameParameter("uname")
//               自定義接收密碼的參數名為pwd
                        .passwordParameter("pwd")
//               登陸認證成功後跳轉的頁面（轉發）,必須使用POST請求
//                .successForwardUrl("/test")
//               陸認證成功後跳轉的頁面（轉發）,必須使用GET請求
//                 .defaultSuccessUrl("/test",true)
                        //不會每次都跳轉定義的頁面，預設會記錄認證攔截的請求，如果是攔截的受限資源會優先跳轉到之前被攔截的請求。需要每次都跳轉使defaultSuccessUrl("/test",true)
//                 .defaultSuccessUrl("/test")
//                前後端分離時代自定義認證成功處理
                        .successHandler(new MyAuthenticationSuccessHandler())
//               認證失敗跳轉頁面，必須使用POST請求
//                .failureForwardUrl("/toLogin")
//               認證失敗跳轉頁面，必須使用GET請求
//                 .failureUrl("/toLogin")
//               前後端分離時代自定義認證失敗處理
                        .failureHandler(new MyAuthenticationFailureHandler())
                        .and()
//               註銷
                        .logout(
您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 【HDLBits刷題筆記】09 Latches and Flip-Flops
    Dff 這一節終於開始時序電路了。首先是一個用的最多的D觸發器。 module top_module ( input clk, // Clocks are used in sequential circuits input d, output reg q );// // Use a clocked ...
  • 學習筆記——Http協議
    2022-10-29 1、Http含義： 超文本傳輸協議，它是一種詳細規定了瀏覽器與萬維網的相互通信的協議。例如：規定了傳輸數據的格式。 2、兩種傳輸傳輸數據的格式： （1）請求報文：客戶端向伺服器發送數據。報文：就是傳輸中有特定數據格式的數據的總稱。 （2）響應報文：伺服器向客戶端發送數據。 3、 ...
  • 網易雲VIP歌曲沒許可權？還好我會Python，一分鐘一個歌單，硬碟有點不夠用了~
    人生苦短，我用Python 人之初，喜白嫖。大家都喜歡白嫖，我也喜歡，那麼今天就來試試怎麼白嫖抑雲~ 我不是，我沒有，別瞎說~ 一、你需要準備 1、環境 Python3.6以上 pycharm2019以上 2、模塊 requests # 發送請求模塊 第三方模塊 exec js # 調用JS的模塊 ...
  • 高精度HighAccuracy_acwing.cpp
    ​​ ​ 文章： 力扣模板：字元串相加 - 字元串相加 - 力扣（LeetCode） acwing模板：常用代碼模板1——基礎演算法 - AcWing 例題： P1009 [NOIP1998 普及組] 階乘之和 - 洛谷 | 電腦科學教育新生態 (luogu.com.cn) 筆記：HighAccur ...
  • springcloudalibaba入門
    1、父工程pom文件 <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-insta ...
  • 13個QA帶你瞭解線上壓測的知識點
    摘要：設計一個線上壓測系統能讓我們學習到多少東西？這13個問題看你能否搞定。 本文分享自華為雲社區《設計一個線上壓測系統能讓我們學習到多少東西？13個問題看你能否搞定》，作者：breakDawn。 Q: 為什麼需要線上壓測？ A: 需要在某些活動、大促前，評估機器擴容數量，驗證系統能否有效支撐流量峰 ...
  • 什麼是ForkJoin？看這一篇就能掌握！
    摘要：ForkJoin是由JDK1.7之後提供的多線程併發處理框架。 本文分享自華為雲社區《【高併發】什麼是ForkJoin？看這一篇就夠了！》，作者： 冰 河。 在JDK中，提供了這樣一種功能：它能夠將複雜的邏輯拆分成一個個簡單的邏輯來並行執行，待每個並行執行的邏輯執行完成後，再將各個結果進行彙總 ...
  • 第 45 屆國際大學生程式設計競賽（ICPC）亞洲區域賽（上海）G Fibonacci
    牛客競賽傳送門： 本題鏈接：G-Fibonacci_第 45 屆國際大學生程式設計競賽（ICPC）亞洲區域賽（上海）(重現賽) (nowcoder.com) 比賽完整題單：牛客競賽_ACM/NOI/CSP/CCPC/ICPC演算法編程高難度練習賽_牛客競賽OJ (nowcoder.com) 通過率：7 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類