使用SpringSecurity

dalaoyang發表於2019-03-02

前幾天寫了一個SpringBoot對攔截器的使用，在實際專案中，對一些情況需要做一些安全驗證，比如在沒有登入的情況下訪問特定的頁面應該解釋的攔截處理。這一篇介紹使用SpringSecurity來做簡單的安全控制，由於SpringSecurity比較複雜，如果有不對的地方可以大家一起學習。

新建專案，前端頁面使用thymeleaf，加入security依賴，pom檔案如下：

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>com.dalaoyang</groupId>
    <artifactId>springboot_security</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <packaging>jar</packaging>

    <name>springboot_security</name>
    <description>springboot_security</description>

    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>1.5.9.RELEASE</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>

    <properties>
        <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
        <project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding>
        <java.version>1.8</java.version>
    </properties>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-devtools</artifactId>
            <scope>runtime</scope>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>net.sourceforge.nekohtml</groupId>
            <artifactId>nekohtml</artifactId>
            <version>1.9.15</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>
    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>


</project>
複製程式碼

配置檔案本文就是將之前整合thymeleaf的配置拿了過來，程式碼如下：

##埠號
server.port=8888


##去除thymeleaf的html嚴格校驗
spring.thymeleaf.mode=LEGACYHTML5

#設定thymeleaf檔案路徑 預設為src/main/resources/templates
spring.freemarker.template-loader-path=classpath:/templates
#設定靜態檔案路徑，js,css等
spring.mvc.static-path-pattern=/static/**
# 是否開啟模板快取，預設true
# 建議在開發時關閉快取,不然沒法看到實時頁面
spring.thymeleaf.cache=false
# 模板編碼
spring.freemarker.charset=UTF-8
複製程式碼

接下來是這篇文章重要的地方，新建一個SecurityConfig類，繼承WebSecurityConfigurerAdapter類，重寫configure(HttpSecurity httpSecurity)方法，其中/css/**和/index的資源不需要驗證，直接可以請求，/user/**的資源需要驗證，許可權是USER，/admin/**的資源需要驗證，許可權是ADMIN，登入地址是/login，登入失敗地址是/login_error，異常重定向到 /401，登出跳轉到/logout。注入AuthenticationManagerBuilder，在記憶體中建立一個使用者dalaoyang，密碼123的使用者，許可權是USER，程式碼如下：

package com.dalaoyang.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

/**
 * @author dalaoyang
 * @Description
 * @project springboot_learn
 * @package com.dalaoyang.config
 * @email yangyang@dalaoyang.cn
 * @date 2018/4/28
 */
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    // /css/**和/index的資源不需要驗證，直接可以請求
    // /user/**的資源需要驗證，許可權是USER /admin/**的資源需要驗證，許可權是ADMIN
    // 登入地址是/login 登入失敗地址是 /login_error
    // 異常重定向到 /401
    // 登出跳轉到 /logout
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception{
        httpSecurity
                .authorizeRequests()
                .antMatchers("/css/**","/index").permitAll()
                .antMatchers("/user/**").hasRole("USER")
                .antMatchers("/admin/**").hasRole("ADMIN")
                .and()
                .formLogin().loginPage("/login").failureUrl("/login_error")
                .and()
                .exceptionHandling().accessDeniedPage("/401");

        httpSecurity.logout().logoutSuccessUrl("/logout");
    }


    //記憶體中建立使用者，使用者名稱為dalaoyang，密碼123，許可權是USER
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
                .inMemoryAuthentication()
                .withUser("dalaoyang").password("123").roles("USER");
    }
}

複製程式碼

建立一個TestController負責跳轉，程式碼如下：

package com.dalaoyang.controller;

import org.springframework.stereotype.Controller;
import org.springframework.ui.Model;
import org.springframework.web.bind.annotation.RequestMapping;

/**
 * @author dalaoyang
 * @Description
 * @project springboot_learn
 * @package com.dalaoyang.controller
 * @email yangyang@dalaoyang.cn
 * @date 2018/4/28
 */
@Controller
public class TestController {

    @RequestMapping("/")
    public String index(){
        return "index";
    }

    @RequestMapping("/index")
    public String index2(){
        return "index";
    }

    @RequestMapping("/user")
    public String user(){
        return "user/index";
    }

    @RequestMapping("/admin")
    public String admin(){
        return "admin/index";
    }

    @RequestMapping("/login")
    public String login(){
        return "login";
    }

    @RequestMapping("/login_error")
    public String login_error(Model model){
        model.addAttribute("login_error", "使用者名稱或密碼錯誤");
        return "login";
    }

    @RequestMapping("/logout")
    public String logout(Model model){
        model.addAttribute("login_error", "登出成功");
        return "login";
    }

    @RequestMapping("/401")
    public String error(){
        return "401";
    }
}

複製程式碼

建立一個user/index.html，用於校驗USER許可權，沒有登入的話不能直接訪問，程式碼如下：

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.w3.org/1999/xhtml">
<head>
    <meta charset="UTF-8">
    <title>user/index</title>
</head>
<body>
user/index

<form th:action="@{/logout}" method="post">
    <input type="submit" value="登出"/>
</form>
</body>
</html>
複製程式碼

建立一個admin/index.html，只允許ADMIN許可權訪問，程式碼如下：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>admin</title>
</head>
<body>
admin/index
</body>
</html>
複製程式碼

401頁面，用於沒有許可權跳轉：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>401</title>
</head>
<body>
401
</body>
</html>
複製程式碼

index頁面，任何許可權都能訪問

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.w3.org/1999/xhtml">
<head>
    <meta charset="UTF-8">
    <title>index</title>
</head>
<body>
index
</body>
</html>
複製程式碼

login頁面，用於登入

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.w3.org/1999/xhtml">
<head>
    <meta charset="UTF-8">
    <title>login</title>
</head>
<body>
<h1>login</h1>
<form th:action="@{/login}" method="post">
    <span th:text="${login_error}"></span>
<br/>
    <input type="text" name="username">使用者名稱<br/>
<input type="password" name="password">密碼<br/>
    <input type="submit" value="登入">
</form>
</body>
</html>
複製程式碼

到這裡就全部建立完成了，啟動專案，訪問http://localhost:8888/，如圖，可以直接訪問。

訪問http://localhost:8888/user被攔截到http://localhost:8888/login，如圖

先輸入錯誤的密碼，如圖

然後輸入使用者名稱dalaoyang密碼123，點選登入結果如圖

訪問http://localhost:8888/admin，如圖，沒有許可權

我們在回到http://localhost:8888/user點選登出，如圖

原始碼下載：大老楊碼雲

個人網站：dalaoyang.cn

springSecurity使用
2020-07-03
SpringGse
在SpringBoot中使用SpringSecurity
2020-04-16
Spring BootGse
SpringSecurity總結
2021-06-18
SpringGse
SpringSecurity-3
2020-12-21
SpringGse
springsecurity和EXT
2009-07-21
SpringGse
萬字長文，SpringSecurity
2020-06-30
SpringGse
SpringSecurity認證流程
2021-02-12
SpringGse
SpringSecurity應用篇
2021-01-17
SpringGse
SpringSecurity之認證
2020-11-20
SpringGse
SpringSecurity之整合JWT
2020-11-27
SpringGseJWT
SpringSecurity之授權
2020-11-24
SpringGse
SpringSecurity hideUserNotFoundExceptions
2015-03-10
SpringGseIDEException
SpringSecurity許可權管理系統實戰—四、整合SpringSecurity（上）
2020-08-18
SpringGse
SpringSecurity許可權管理系統實戰—五、整合SpringSecurity（下）
2020-08-19
SpringGse
SpringSecurity許可權管理系統實戰—六、SpringSecurity整合JWT
2020-08-19
SpringGseJWT
SpringBoot--- 使用SpringSecurity進行授權認證
2020-08-19
Spring BootGse
【SpringSecurity系列02】SpringSecurity 表單認證邏輯原始碼解讀
2019-04-16
SpringGse原始碼
SpringSecurity 學習筆記
2019-06-29
SpringGse筆記
從零學習SpringSecurity
2021-07-19
SpringGse
SpringSecurity簡單入門
2022-05-31
SpringGse
SpringSecurity過濾器原理
2021-12-02
SpringGse過濾器
technology-integration（七）---使用SpringSecurity做JWT認證授權
2018-08-27
SpringGseJWT
springSecurity 登入以及使用者賬號密碼解析原理
2019-01-15
SpringGse密碼
登入模組使用者認證 SpringSecurity +Oauth2+Jwt
2020-10-14
SpringGseOAuthJWT
你還不瞭解SpringSecurity嗎？快來看看SpringSecurity實戰總結~
2022-01-03
SpringGse
SpringBoot 整合SpringSecurity JWT
2020-08-19
Spring BootGseJWT
登陸認證框架：SpringSecurity
2022-01-02
框架SpringGse
SpringBoot 整合 SpringSecurity 梳理
2021-08-24
Spring BootGse
前後端分離整合SpringSecurity
2020-12-11
後端SpringGse
SpringSecurity(2)---記住我功能實現
2020-06-04
SpringGse
SpringSecurity認證流程原始碼詳解
2019-01-10
SpringGse原始碼
SpringSecurity_連線mysql（初出茅廬）
2020-12-15
SpringGseMySql
SpringBoot整合SpringSecurity（入門級）
2017-12-30
Spring BootGse
SpringSecurity3網站安全授權
2011-11-01
SpringGse網站
一篇文章帶你使用 JSON 格式資料完成 SpringSecurity 登入
2020-10-02
JSONSpringGse
SpringBoot2 整合 SpringSecurity 框架，實現使用者許可權安全管理
2020-02-10
Spring BootGse框架
SpringSecurity 原始碼分析之SecurityFilterchain的構建
2019-03-28
SpringGse原始碼FilterAI
SpringSecurity中的Authentication資訊與登入流程
2020-09-08
SpringGse

使用SpringSecurity

相關文章