Spring Security是一个强有力并且高度定制化的认证和访问控制框架，致力于为Java应用程序提供认证和授权。

特性：

1、为认证和授权提供综合性和扩展性支持。

2、免受session定位、点击劫持、跨站点请求伪装等攻击。

3、Servelt API集成。

4、与Spring MVC集成

一、Spring Security架构

1、认证

AuthenticationManager是主要的认证策略接口，该接口只包含一个方法。

public interface AuthenticationManager {
  Authentication authenticate(Authentication authentication)
    throws AuthenticationException;
}

认证管理器通过authenticate方法可做下面3处理：

(1)如果能证明输入是一个合理的用户标识，则返回Authentication对象。

(2)如果输入不是一个合理的用户标识，抛出AuthenticationExcepton。

(3)如果无法决策则返回null。

备注：AuthenticationException为运行时异常，根据需要进行处理。

AuthenticationManager常用的实现为ProviderManager，ProviderManager会委托给AuthenticationProvider实例链。

AuthenticationProvider和AuthenticataionManager相似，但提供了额外的方法允许调用者查询是否支持给定的Authentication类型。

public interface AuthenticationProvider {
    Authentication authenticate(Authentication authentication)
            throws AuthenticationException;
    boolean supports(Class<?> authentication);
}

2、授权(访问控制)

认证成功后就是授权，核心策略是AccessDecisionManager，框架提供了访问决策管理器3种实现，它们都会委托给AccessDecisionVoter，就像

ProviderManager委托给AuthenticationProvider。

public interface AccessDecisionVoter {
    boolean supports(ConfigAttribute attribute);
    boolean supports(Class<?> clazz);
    int vote(Authentication authentication, S object,
            Collection<ConfigAttribute> attributes);
}

object参数代表用户想要访问的任何事物(如：web或者java类中的方法)，ConfigAttributes代表访问资源所需的许可证等级，

ConfigAttribute是一个接口，只有一个getAttribute()方法，返回值为谁允许访问资源的表达式规则，例如用户角色的名字:ROLE_ADMIN或者ROLE_AUDIT，一般以ROLE_前缀开头。

二、Web Security

1、Spring security在web层是基于Filters的，下面是单个http请求的处理层级：

Client <-> Filter <-> Filter <-> Filter <-> Servlet

客户单发送请求到app，由容器来决定使用哪些filters和servelt，一个请求最多一个servlet来处理，但能有多个filters，多个filters有排序，一个filter能否决其它剩余filter，并且能修改下游filter

和servlet的请求与响应。

Spring security在过滤器链中注册为单个过滤器，具体类型为FilterChainProxy，默认被注册为@Bean来处理所有请求。下面是有过滤器链代理后单个http请求的处理层级：

Client <-> Filter <-> FilterChainProxy(到多个filters) <-> Filter <-> Servlet

备注：事实上在安全过滤器中还有隐含的一层，DelegatingFilterProxy，该代理会委托给FilterChainProxy(在容器中为一个@Bean，并且bean的名字固定为springSecurityFilterChain,该bean包含了所有

安全相关的逻辑)

2、FilterChainProxy下面可以有多个由spring security管理的过滤器链，并且会把请求分发到第一个匹配到的过滤器链，有且只有一个过滤器链来处理。

FilterChainProxy

/foo/** /bar/** /**

Filter Filter Filter

注意：/foo/**会比/**先匹配到，匹配规则：精确匹配 > 路径匹配 > 通配符匹配 > 缺省匹配

3、一般没有其它自定义的FilterChainProxy有5个或过滤器链，第一个用来忽略静态资源，像/css/**,/images/**以及错误视图/error。最后一个过滤器链匹配/**,

包含认证，授权，异常处理，会话处理，头部写入等等。

三、Java配置

1、表单登录认证

(1)配置类继承自WebSecurityConfigurerAdapter，并带@EnableWebSecurity注解。

@EnableWebSecurity
@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests()// 限制基于HttpServletReqeuest的请求访问
          .antMatchers("/", "/home").permitAll()// /和/home路径能被任何人访问
          .anyRequest().authenticated()// 其它请求需要身份认证
          .anyRequest().hasRole("USER")// 其它请求必须是USER角色，该方法默认会加上ROLE_前缀
        .and()
          .formLogin()// 支持基于表单的身份认证
          .loginPage("/login")// 指定跳转到登录页的url，若不指定则会生成默认登录页面，默认为/login
          .loginProcessingUrl("/loginProcess")// 指定认证处理的url，表单action指定地址必须为该地址，默认为/login
          .defaultSuccessUrl("/success")// 认证成功后默认跳转的地址，默认为/home
          .failureUrl("/loginProcess?error")// 认证失败后跳转的地址，默认为/login?error
          .permitAll()// 给用户所有与表单登录相关的url访问授权
        .and()
          .rememberMe()// 开启记住我的功能
          .rememberMeCookieName("remember-me")// 传给浏览器的cookie名，默认为remember-me
          .rememberMeParameter("remember-me")// 前端复选框传入的字段名，默认为remember-me
          .tokenValiditySeconds(30 * 1000)// cookie有效时间
          .key(UUID.randomUUID().toString())// 防止名为remember-me的token被修改的key，默认为随机数，生成随机数需要时间，最好指定固定值
        .and()
          .logout()// 开启退出登录支持
          .logoutUrl("/logout")// 触发退出登录的url，前端页面地址必须为改地址，默认为/logout
          .logoutSuccessUrl("/loginProcess?logout")// 退出登录跳转的地址
          .deleteCookies("remember-me")// 退出登录后删除名为remember-me的cookie，默认会删除remember-me功能对应的cookie
          .permitAll()// 授权所有与退出登录相关的url
        .and()
          .csrf().disable();// 禁用csrf，不禁用则要在表单里加上隐藏域或csrf标签
  }
  @Override
  protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    // 创建DelegatingPasswordEncoder，该PasswordEncoder会使用BCryptPasswordEncoder对密码进行编码
    PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
    String encodedPwd = encoder.encode("123");
    // 前端传入的密码编码后与加密后的密码比对，编码后的格式为{编码器Id}+编码后的密码
    auth.inMemoryAuthentication().withUser("lyl").password(encodedPwd).roles("USER");
  }
  /**
   * 不重写configure(AuthenticationManagerBuilder auth)方法可以在容器中注册UserDetailService实例
   */
  // @Bean
  // public UserDetailsService userDetailsService() {
  // String encodedPwd = PasswordEncoderFactories.createDelegatingPasswordEncoder().encode("123");
  // UserDetails userDetails = User.withUsername("lyl").password(encodedPwd).roles("USER").build();
  // return new InMemoryUserDetailsManager(userDetails);
  // }
}

(2)Web MVC相关配置

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {
  @Override
  public void addViewControllers(ViewControllerRegistry registry) {
    registry.addViewController("/success").setViewName("success");
    registry.addViewController("login").setViewName("login");
  }
  @Override
  public void configureViewResolvers(ViewResolverRegistry registry) {
    registry.jsp("/WEB-INF/jsp/", ".jsp");
  }
}
@Controller
public class AuthController {
  @RequestMapping("/loginProcess")
  public String handelRequest(String error, String logout) {
    // 如果是退出登录，则跳转到退出登录后的页面
    if (logout != null) {
      return "logout";
    }
    // 认证、授权失败或者直接访问该地址跳回到登录页面
    return "login";
  }
}

(3)前端jsp表单

<!-- 注意：请求方式必须为post，且action地址必须为loginProcessingUrl配置的地址 -->
<form action="loginProcess" method="post">
  <!-- 如果没禁用csrf则要加上隐藏域，用于传csrf token给后台-->
  <!-- <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" /> -->
  <table>
    <tr>
      <td>用户名：</td>
      <td><input name="username" type="text" /></td>
    </tr>
    <tr>
      <td>密码：</td>
      <td><input name="password" type="password" /></td>
    </tr>
    <tr>
      <!-- 上传字段名必须和后端Java配置一致，默认为remember-me,用户名和密码也必须与后端配置保持一致，默认为username和password-->
      <td>记住我<input name="remember-me" type="checkbox" checked="checked" /></td>
    </tr>
    <tr>
      <td><input type="submit" value="登录"></td>
    </tr>
  </table>
</form>

2、JDBC Authentication(JDBC认证)

前面的用户名、密码等认证信息是保存在内存中的，实际上用户名、密码都保存在数据库中，Spring Security中提供了JDBC认证，指定数据源和编码器即可，步骤如下：

(1)重写WebSecurityConfigurerAdapter中的configure方法

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
   // 创建DelegatingPasswordEncoder，该PasswordEncoder会使用BCryptPasswordEncoder对密码进行编码
   PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
   // 默认数据库模式为HSQL的，因此不要加上withDefaultSchema()
   // 保存在数据库中的密码应该是通过相应密码编码器进行加密的，这里需指定编码器
   auth.jdbcAuthentication().dataSource(dataSource).passwordEncoder(encoder);
}

(2)在数据库中创建表，Spring Security默认会从下面表中读取用户身份以及权限信息。

mysql数据库表结构：

create table users(
    username varchar(50) not null primary key,
    password varchar(100) not null,
    enabled boolean not null
);
create table authorities (
    username varchar(50) not null,
    authority varchar(50) not null,
    constraint fk_authorities_users foreign key(username) references users(username)
);
create unique index ix_auth_username on authorities (username,authority);

oracle数据库表结构:

create table users (
    username varchar2(128) primary key,
    password varchar2(128) not null,
    enabled char(1) check (enabled in ('y','n') ) not null
);
create table authorities (
    username varchar2(128) not null,
    authority varchar2(128) not null
);
alter table authorities add constraint authorities_unique unique(username, authority);
alter table authorities add constraint authorities_fk1 foreign key(username) references users(username) enable;

users表数据如下所示：

authorities表数据如下所示：

注意：

(1)users表中的密码必须与配置AuthenticationManager时指定的PasswordEncoder编码后的密码一致。

(2)authorities表中的authority列的值必须以"ROLE_"前缀开头。

3、密码编码器

DelegatingPasswordEncoder(委托密码编码器)

Spring Security5.0以前默认的密码编码器是NoOpPasswordEncoder(要求明文密码)，现在默认的密码编码器是BCryptPasswordEncoder。

密码存储格式为：{encoderId}encodedPassword

encoderId为编码器的标识符，用来查找应该使用哪个密码编码器，encoderId必须在编码后的密码之前，并且以"{"开头，以"}"结尾。

下面是不同编码器经过DelegatingPasswordEncoder委托后对原密码"password"进行编码后的密码：

{bcrypt}$2a$10$dXJ3SW6G7P50lGmMkkmwe.20cQQubK3.HZWzG3YB1tlRy.fqvM/BG 
{noop}password 
{pbkdf2}5d923b44a6d129f3ddf3e3c8d29412723dcbde72445e8ef6bf3b508fbf17fa4ed4d6b99ca763d8dc 
{scrypt}$e0801$8bWJaSu2IKSn9Z9kM+TPXfOc/9bdYSrN1oD9qfVThWEwdRTnO7re7Ei+fUZRJ68k9lTyuTeUp4of4g24hHnazw==$OAOec05+bXxvuu/1qZ6NUR+xQYvYv7BeL1QxwRpY5Pc= 
{sha256}97cde38028ad898ebc02e690819fa220e88c62e0699403e94fff291cfffaf8410849f27605abcbc0

下面是Spring Security提供的一些PasswordEncoder的实例，与上一一对应。

BCryptPasswordEncoder
NoOpPasswordEncoder
Pbkdf2PasswordEncoder
SCryptPasswordEncoder
StandardPasswordEncoder

Spring Security表单登录认证

Spring Security是一个强有力并且高度定制化的认证和访问控制框架，致力于为Java应用程序提供认证和授权。

一、Spring Security架构

1、认证

2、授权(访问控制)

二、Web Security

三、Java配置

1、表单登录认证

2、JDBC Authentication(JDBC认证)

3、密码编码器

热门文章

最新文章

相关课程

相关电子书

相关实验场景