SpringSecurity（四）【自定义认证流程详解】

快来打我* 2024-04-01 10:27 78阅读 0赞

### 四、自定义认证流程详解 ###

--------------------

#### 4.1 自定义资源权限规则 ####

![在这里插入图片描述][7da791aacc624da68560fa63b1393381.png_pic_center]

*  /index 公共资源
 *  /hello 受保护资源

– 在项目中，如果要覆盖默认权限、授权自动配置，需要让 **DefaultWebSecurityCondition** 这个类失效

![在这里插入图片描述][8d5d6cd263294e6bab988c7185c27e52.png_pic_center]

– 添加如下配置可以实现自定义对资源权限规则设置

# 说明
    - permitAll()	代表放行该资源,该资源为公共资源,无需认证和授权可以直接访问
    - anyRequest().authenticated()	代表所有请求必须认证之后才能访问
    - formLogin()	代表开启表单认证
    # 【注意】放行资源必须放在所有认证请求之前!

#### 4.2 自定义登录界面 ####

根据前面分析可知，校验用户名密码是根据 **UsernamePasswordAuthenticationFilter** 这个过滤器执行的，要求

*  用户名参数：username
 *  用户名密码：password
 *  请求类型：POST
 *  请求路径：/login

![在这里插入图片描述][fd782e39d715443b8a728dfd4a92c7ce.png_pic_center]

> 修改默认的登录配置信息

1.  导入thymeleaf依赖

<dependencies>
            
            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-web</artifactId>
            </dependency>
            
            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-security</artifactId>
            </dependency>
            
            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-thymeleaf</artifactId>
            </dependency>
        </dependencies>

1.  定义一个跳转到**login.html**页面的controller

package com.vinjcent.controller;
    
    import org.springframework.stereotype.Controller;
    import org.springframework.web.bind.annotation.RequestMapping;
    
    @Controller
    public class LoginController {
        
        
        @RequestMapping("/toLogin")
        public String toLogin() {
        
            return "login";
        }
        
    }

1.  在 templates 中定义登陆界面

<!DOCTYPE html>
    <html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>用户登录</title>
    </head>
    <body>
        <h1>用户登录</h1>
        <form th:action="@{/login}" method="post">
            用户名: <input type="text" name="uname"> <br>
            密码: <input type="password" name="passwd"> <br>
            <input type="submit" value="登录">
        </form>
    </body>
    </html>

【**注意**】当前**login.html**页面的文本输入框**name**参数以及请求路径可根据自定义修改，但必须与 **WebSecurityConfiguration** 的配置一致

1.  配置 SpringSecurity 配置类

package com.vinjcent.config;
    
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     *  重写 WebSecurityConfigurerAdapter 类使得默认 DefaultWebSecurityCondition 条件失效
     */
    @Configuration
    public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
        
        
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http.authorizeHttpRequests()
                    .mvcMatchers("/toLogin").permitAll()    // 放行登录页面
                    .mvcMatchers("/index").permitAll()      // 放行资源
                    .anyRequest().authenticated()   // 【注意】所有放行的资源放在任何拦截请求前面
                    .and()                          // 链式编程,继续拼接
                    .formLogin()
                    .loginPage("/toLogin")          // 指定登录页面,【注意】一旦指定登陆页面之后,必须指定登录请求url
                    .loginProcessingUrl("/login")   // 指定处理登录请求的url
                    .usernameParameter("uname")     // 指定认证用户名参数的名称
                    .passwordParameter("passwd")    // 指定认证密码参数的名称
                    // .successForwardUrl("/hello")    // 认证成功后跳转的路径(转发),始终在认证成功之后跳转到指定路径
                    // .defaultSuccessUrl("/index", true)    // 认证成功之后的跳转(重定向),如果在访问权限资源之前被拦截,那么认证之后将会跳转之前先访问的资源
                    .and()
                    .csrf().disable();              // 禁止 csrf 跨站请求保护
        }
    }

*  **successForwardUrl** 与 **defaultSuccessUrl** 这两个方法都可以实现成功之后跳转
 *  **successForwardUrl** 默认使用 **dispatchForward** 跳转。【**注意**】不会跳转到之前i请求路径
 *  **defaultSuccessUrl** 默认使用 **redirect** 跳转。【**注意**】如果之前请求路径被拦截，认证之后会优先跳转之前请求路径，可以传入第二个参数进行修改是否跳转之前请求路径，默认为false

#### 4.3 自定义登录成功处理（前后端分离开发解决方案） ####

有时候页面跳转并不能满足我们，特别是在前后端分离开发中就不需要成功之后跳转页面（不是交由后端去做，而是前端去做）。此时，我们只需要给前端返回一个 JSON 通知登录成功还是失败。这个时候可以通过自定义接口

*  **successHandler** 认证成功处理
 *  该处理函数中带有一个 **AuthenticationSuccessHandler** 接口参数

![在这里插入图片描述][77c862822eb840bc91e49d8e8771d2f2.png_pic_center]

*  根据接口描述信息，得知**登陆成功**会自动回调这个方法，进一步查看它的实现类可以发现，successForwardUrl、defaultSuccessUrl 也是由它的子类进一步实现的

![在这里插入图片描述][4c58549ef1cb4986a19fbe901ccaa38c.png_pic_center]

> 自定义 AuthenticationSuccessHandler 实现类

1.  编写 **DivAuthenticationSuccessHandler** 实现接口 **AuthenticationSuccessHandler**

package com.vinjcent.handler;
    
    import com.fasterxml.jackson.databind.ObjectMapper;
    import org.springframework.security.core.Authentication;
    import org.springframework.security.web.authentication.AuthenticationSuccessHandler;
    
    import javax.servlet.ServletException;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    import java.io.IOException;
    import java.util.HashMap;
    import java.util.Map;
    
    /**
     * 自定义认证成功之后处理
     */
    public class DivAuthenticationSuccessHandler implements AuthenticationSuccessHandler {
        
    
        @Override
        public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        
            Map<String, Object> result = new HashMap<>();
            result.put("msg","登陆成功");
            result.put("status", 200);
            result.put("authentication", authentication);
            response.setContentType("application/json;charset=UTF-8");
            String info = new ObjectMapper().writeValueAsString(result);
            response.getWriter().println(info);
        }
    }

1.  在 **WebSecurityConfiguration** 配置类中进行成功认证配置

package com.vinjcent.config;
    
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     *  重写 WebSecurityConfigurerAdapter 类使得默认 DefaultWebSecurityCondition 条件失效
     */
    @Configuration
    public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
        
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http.authorizeHttpRequests()
                    .mvcMatchers("/toLogin").permitAll()
                    .mvcMatchers("/index").permitAll()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin()
                    .loginPage("/toLogin")
                    .loginProcessingUrl("/login")
                    .usernameParameter("uname")
                    .passwordParameter("passwd")
                    // .successForwardUrl("/hello")
                    // .defaultSuccessUrl("/index", true)
                    .successHandler(new DivAuthenticationSuccessHandler())  // 认证成功时处理,前后端分离解决方案
                    .and()
                    .csrf().disable();
        }
    }

1.  登录测试访问

![在这里插入图片描述][c754dcdbfe774ce7adf8fe07a3aea880.png_pic_center]

#### 4.4 显示登录失败的信息 ####

为了能更直观在登录页面看到异常错误信息，可以在登录页面中直接获取异常信息。Spring Security 在登陆失败之后会将异常信息存储到 `request`、`session`作用域中，key 为 `SPRING_SECURITY_LAST_EXCEPTION`命名属性

*  **SimpleUrlAuthenticationFailureHandler**

![在这里插入图片描述][64368efae698456082b46e2a1d1a4c6d.png_pic_center]

![在这里插入图片描述][69908019c8374ea48fc76c99972c4fc2.png_pic_center]

*  **这说明，不同配置会产生作用域不同的异常**

> 验证失败信息

1.  对应页面修改，显示异常处理

<!DOCTYPE html>
    <html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>用户登录</title>
    </head>
    <body>
        <h2>
            
            
            
            
        </h2>
        <h1>用户登录</h1>
        <form th:action="@{/login}" method="post">
            用户名: <input type="text" name="uname"> <br>
            密码: <input type="password" name="passwd"> <br>
            <input type="submit" value="登录">
        </form>
    </body>
    </html>

1.  在 **WebSecurityConfiguration** 配置类中进行失败认证配置

package com.vinjcent.config;
    
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     *  重写 WebSecurityConfigurerAdapter 类使得默认 DefaultWebSecurityCondition 条件失效
     */
    @Configuration
    public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
        
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http.authorizeHttpRequests()
                    .mvcMatchers("/toLogin").permitAll()
                    .mvcMatchers("/index").permitAll()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin()
                    .loginPage("/toLogin")
                    .loginProcessingUrl("/login")
                    .usernameParameter("uname")
                    .passwordParameter("passwd")
                    // .successForwardUrl("/hello")
                    // .defaultSuccessUrl("/index", true)
                    .successHandler(new DivAuthenticationSuccessHandler())
                    // .failureForwardUrl("/toLogin")      // 认证失败后跳转的路径(转发)
                    // .failureUrl("/toLogin")             // 认证失败后跳转的路径(重定向)
                    .and()
                    .csrf().disable();
        }
    }

1.  任意选择页面的一种情况作用域渲染以及对应后台配置类选择转发/重定向，进行测试

![在这里插入图片描述][8af3375cacfa40a9ae20e35ba2270432.png_pic_center]

![在这里插入图片描述][d08e0bf403ff4a1dabfe7921cb3d39cb.png_pic_center]

#### 4.5 自定义登陆失败处理（前后端分离开发解决方案） ####

*  **failureHandler** 认证失败处理
 *  该处理函数中带有一个 **AuthenticationFailureHandler** 接口参数

![在这里插入图片描述][f5d8ab11cece4154ad9890ad93a6db1e.png_pic_center]

*  根据接口描述信息，得知**登陆失败**会自动回调这个方法，进一步查看它的实现类可以发现，successForwardUrl、defaultSuccessUrl 也是由它的子类进一步实现的

![在这里插入图片描述][a29c9beffd4b4bedaa96bc3bda610138.png_pic_center]

> 自定义 DivAuthenticationFailureHandler 实现类

1.  编写 **DivAuthenticationFailureHandler** 实现接口 **AuthenticationFailureHandler**

package com.vinjcent.handler;
    
    import com.fasterxml.jackson.databind.ObjectMapper;
    import org.springframework.security.core.AuthenticationException;
    import org.springframework.security.web.authentication.AuthenticationFailureHandler;
    
    import javax.servlet.ServletException;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    import java.io.IOException;
    import java.util.HashMap;
    import java.util.Map;
    
    /**
     * 自定义认证失败之后处理
     */
    public class DivAuthenticationFailureHandler implements AuthenticationFailureHandler {
        
        @Override
        public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
        
            Map<String, Object> result = new HashMap<>();
            result.put("msg", "登陆失败: " + exception.getMessage());
            result.put("status", 500);
            response.setContentType("application/json;charset=UTF-8");
            String info = new ObjectMapper().writeValueAsString(result);
            response.getWriter().println(info);
        }
    }

1.  在 **WebSecurityConfiguration** 配置类中进行失败认证配置

package com.vinjcent.config;
    
    import com.vinjcent.handler.DivAuthenticationFailureHandler;
    import com.vinjcent.handler.DivAuthenticationSuccessHandler;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     *  重写 WebSecurityConfigurerAdapter 类使得默认 DefaultWebSecurityCondition 条件失效
     */
    @Configuration
    public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
        
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http.authorizeHttpRequests()
                    .mvcMatchers("/toLogin").permitAll()
                    .mvcMatchers("/index").permitAll()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin()
                    .loginPage("/toLogin")
                    .loginProcessingUrl("/login")
                    .usernameParameter("uname")
                    .passwordParameter("passwd")
                    // .successForwardUrl("/hello")
                    // .defaultSuccessUrl("/index", true)
                    .successHandler(new DivAuthenticationSuccessHandler())  // 认证成功时处理,前后端分离解决方案
                    // .failureForwardUrl("/toLogin")
                    // .failureUrl("/toLogin")
                    .failureHandler(new DivAuthenticationFailureHandler())  // 认证失败时处理,前后端分离解决方案
                    .and()
                    .csrf().disable();
        }
    }

1.  登录测试访问

![在这里插入图片描述][f7ed0534ec9f42f6875b012e447c8aa2.png_pic_center]

#### 4.6 注销登录 ####

SpringSecurity 中也提供了默认的注销登录（访问\*\*/logout\*\*），在开发时可以按照自己的需求对注销进行个性化定制

1.  开启注销登录（`默认开启`）

package com.vinjcent.config;
    
    import com.vinjcent.handler.DivAuthenticationFailureHandler;
    import com.vinjcent.handler.DivAuthenticationSuccessHandler;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     *  重写 WebSecurityConfigurerAdapter 类使得默认 DefaultWebSecurityCondition 条件失效
     */
    @Configuration
    public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
        
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http.authorizeHttpRequests()
                    .mvcMatchers("/toLogin").permitAll()
                    .mvcMatchers("/index").permitAll()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin()
                    .loginPage("/toLogin")
                    .loginProcessingUrl("/login")
                    .usernameParameter("uname")
                    .passwordParameter("passwd")
                    // .successForwardUrl("/hello")
                    // .defaultSuccessUrl("/index", true)
                    .successHandler(new DivAuthenticationSuccessHandler())
                    // .failureForwardUrl("/toLogin")
                    // .failureUrl("/toLogin")
                    .failureHandler(new DivAuthenticationFailureHandler())
                    .and()
                    .logout()                       // 注销登录的logout
                    .logoutUrl("/logout")           // 指定注销的路径url   【注意】请求方式类型必须是GET
                    .invalidateHttpSession(true)    // 默认开启,会话清除
                    .clearAuthentication(true)      // 默认开启,清除认证标记
                    .logoutSuccessUrl("/toLogin")   // 注销登录成功之后跳转的页面
                    .and()
                    .csrf().disable();
        }
    }

*  通过 logout() 方法开启注销配置
 *  logoutUrl 指定退出登录请求地址，默认为 GET 请求，路径为`logout`
 *  invalidateHttpSession 退出时是否使 session 失效，默认值为 true
 *  clearAuthentication 退出时是否清除认证信息，默认值为 true
 *  logoutSuccessUrl 退出登录时跳转地址

1.  配置多个注销登录请求

*  **如果项目中有需要，开发者还可以配置多个注销登录的请求，同时还可以指定请求方法**

package com.vinjcent.config;
    
    import com.vinjcent.handler.DivAuthenticationFailureHandler;
    import com.vinjcent.handler.DivAuthenticationSuccessHandler;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     *  重写 WebSecurityConfigurerAdapter 类使得默认 DefaultWebSecurityCondition 条件失效
     */
    @Configuration
    public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
        
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http.authorizeHttpRequests()
                    .mvcMatchers("/toLogin").permitAll()
                    .mvcMatchers("/index").permitAll()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin()
                    .loginPage("/toLogin")
                    .loginProcessingUrl("/login")
                    .usernameParameter("uname")
                    .passwordParameter("passwd")
                    // .successForwardUrl("/hello")
                    // .defaultSuccessUrl("/index", true)
                    .successHandler(new DivAuthenticationSuccessHandler())
                    // .failureForwardUrl("/toLogin")
                    // .failureUrl("/toLogin")
                    .failureHandler(new DivAuthenticationFailureHandler())
                    .and()
                    .logout()
                    // .logoutUrl("/logout")
                    .logoutRequestMatcher(new OrRequestMatcher(		// 配置多个注销登录的请求
                            new AntPathRequestMatcher("/aLogout", "GET"),
                            new AntPathRequestMatcher("/bLogout", "POST")
                    ))
                    .invalidateHttpSession(true)
                    .clearAuthentication(true)
                    .logoutSuccessUrl("/toLogin")
                    .and()
                    .csrf().disable();
        }
    }

1.  添加一个`/logout`接口

package com.vinjcent.controller;
    
    import org.springframework.stereotype.Controller;
    import org.springframework.web.bind.annotation.RequestMapping;
    
    @Controller
    public class LoginController {
        
    
        @RequestMapping("/toLogin")
        public String toLogin() {
        
            return "login";
        }
    
        @RequestMapping("/toLogout")
        public String toLogout() {
        
            return "logout";
        }
    
    }

1.  添加一个**logout.html**页面（验证POST请求注销）

<!DOCTYPE html>
    <html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>注销登录</title>
    </head>
    <body>
    
    <h1>注销登录</h1>
    <form th:action="@{/bLogout}" method="post">
        <input type="submit" value="注销登录">
    </form>
    </body>
    </html>

1.  测试访问

![在这里插入图片描述][96ad98049f87408e9dbb396903b17f83.png_pic_center]

![在这里插入图片描述][6c69a4896d6943b498da012e1e687f18.png_pic_center]

#### 4.7 注销登录配置（前后端分离解决方案） ####

*  前后端分离注销登录配置

如果是前后端分离开发，注销成功后就不需要页面跳转了，只需要将注销成功的信息返回前端即可，此时可以通过自定义 **LogoutSuccessHandler** 实现类返回内容注销之后信息

*  **logoutSuccessHandler** 认证失败处理
 *  该处理函数中带有一个 **LogoutSuccessHandler** 接口参数

![在这里插入图片描述][c93e2fd17ad4415bac958d4d36afec8c.png_pic_center]

*  根据接口描述信息，得知**注销登陆成功**会自动回调这个方法

![在这里插入图片描述][056934a8cf3e4778a2c379807c1d5738.png_pic_center]

> 自定义 DivLogoutSuccessHandler 实现类

1.  编写 **DivLogoutSuccessHandler** 实现接口 **LogoutSuccessHandler**

package com.vinjcent.handler;
    
    import com.fasterxml.jackson.databind.ObjectMapper;
    import org.springframework.security.core.Authentication;
    import org.springframework.security.web.authentication.logout.LogoutSuccessHandler;
    
    import javax.servlet.ServletException;
    import javax.servlet.http.HttpServletRequest;
    import javax.servlet.http.HttpServletResponse;
    import java.io.IOException;
    import java.util.HashMap;
    import java.util.Map;
    
    /**
     * 自定义注销成功之后处理
     */
    public class DivLogoutSuccessHandler implements LogoutSuccessHandler {
        
        @Override
        public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        
            Map<String, Object> result = new HashMap<>();
            result.put("msg","注销成功,当前认证对象为:" + authentication);
            result.put("status", 200);
            response.setContentType("application/json;charset=UTF-8");
            String info = new ObjectMapper().writeValueAsString(result);
            response.getWriter().println(info);
        }
    }

1.  在 **WebSecurityConfiguration** 配置类中进行失败认证配置

package com.vinjcent.config;
    
    import com.vinjcent.handler.DivAuthenticationFailureHandler;
    import com.vinjcent.handler.DivAuthenticationSuccessHandler;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     *  重写 WebSecurityConfigurerAdapter 类使得默认 DefaultWebSecurityCondition 条件失效
     */
    @Configuration
    public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
        
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http.authorizeHttpRequests()
                    .mvcMatchers("/toLogin").permitAll()
                    .mvcMatchers("/index").permitAll()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin()
                    .loginPage("/toLogin")
                    .loginProcessingUrl("/login")
                    .usernameParameter("uname")
                    .passwordParameter("passwd")
                    // .successForwardUrl("/hello")
                    // .defaultSuccessUrl("/index", true)
                    .successHandler(new DivAuthenticationSuccessHandler())
                    // .failureForwardUrl("/toLogin")
                    // .failureUrl("/toLogin")
                    .failureHandler(new DivAuthenticationFailureHandler())
                    .and()
                    .logout()
                    // .logoutUrl("/logout")
                    // .logoutRequestMatcher(new OrRequestMatcher(
                    //        new AntPathRequestMatcher("/aLogout", "GET"),
                    //        new AntPathRequestMatcher("/bLogout", "POST")
                    //))
                    .logoutSuccessHandler(new DivLogoutSuccessHandler())    // 成功退出登录时,前后端分离解决方案
                    .invalidateHttpSession(true)
                    .clearAuthentication(true)
                    .logoutSuccessUrl("/toLogin")
                    .and()
                    .csrf().disable();
        }
    }

1.  注销登录测试访问

![在这里插入图片描述][3691499846dd4bcda1e91e6b2d8b3421.png_pic_center]

> 当前完整所有Security配置信息

package com.vinjcent.config;
    
    import com.vinjcent.handler.DivAuthenticationFailureHandler;
    import com.vinjcent.handler.DivAuthenticationSuccessHandler;
    import com.vinjcent.handler.DivLogoutSuccessHandler;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
    import org.springframework.security.web.util.matcher.OrRequestMatcher;
    
    /**
     *  重写 WebSecurityConfigurerAdapter 类使得默认 DefaultWebSecurityCondition 条件失效
     */
    @Configuration
    public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
        
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http.authorizeHttpRequests()
                    .mvcMatchers("/toLogin").permitAll()    // 放行登录页面
                    .mvcMatchers("/index").permitAll()      // 放行资源
                    .anyRequest().authenticated()   // 【注意】所有放行的资源放在任何拦截请求前面
                    .and()                          // 链式编程,继续拼接
                    .formLogin()
                    .loginPage("/toLogin")          // 指定登录页面,【注意】一旦指定登陆页面之后,必须指定登录请求url
                    .loginProcessingUrl("/login")   // 指定处理登录请求的url
                    .usernameParameter("uname")     // 指定认证用户名参数的名称
                    .passwordParameter("passwd")    // 指定认证密码参数的名称
                    // .successForwardUrl("/hello")    // 认证成功后跳转的路径(转发),始终在认证成功之后跳转到指定路径
                    // .defaultSuccessUrl("/index", true)    // 认证成功之后的跳转(重定向),如果在访问权限资源之前被拦截,那么认证之后将会跳转之前先访问的资源
                    .successHandler(new DivAuthenticationSuccessHandler())  // 认证成功时处理,前后端分离解决方案
                    // .failureForwardUrl("/toLogin")      // 认证失败后跳转的路径(转发)
                    // .failureUrl("/toLogin")             // 认证失败后跳转的路径(重定向)
                    .failureHandler(new DivAuthenticationFailureHandler())  // 认证失败时处理,前后端分离解决方案
                    .and()
                    .logout()                       // 注销登录的logout
                    // .logoutUrl("/logout")           // 指定注销的路径url   【注意】请求方式类型必须是GET
                    //.logoutRequestMatcher(new OrRequestMatcher(     // 配置多个注销登录的请求
                    //        new AntPathRequestMatcher("/aLogout", "GET"),
                    //        new AntPathRequestMatcher("/bLogout", "POST")
                    //))
                    .logoutSuccessHandler(new DivLogoutSuccessHandler())    // 成功退出登录时,前后端分离解决方案
                    .invalidateHttpSession(true)    // 默认开启,会话清除
                    .clearAuthentication(true)      // 默认开启,清除认证标记
                    .logoutSuccessUrl("/toLogin")   // 注销登录成功之后跳转的页面
                    .and()
                    .csrf().disable();              // 禁止 csrf 跨站请求保护
        }
    
    }

#### 4.8 获取用户认证信息 ####

##### 4.8.1 SecurityContextHolder 的源码解析 #####

> SecurityContextHolder

*  **SecurityContextHolder** 用来获取登录之后用户信息。SpringSecurity 会将登录用户数据保存在`Session`中。但是，为了使用方便， SpringSecurity 在此基础上还做了一些改进，其中最主要的一个变化就是线程绑定。当用户登录成功后，SpringSecurity 会将登录成功的用户信息保存到 SecurityContextHolder 中。
 *  **SecurityContextHolder 中的数据保存默认是通过`ThreadLocal`来实现的，使用 ThreadLocal 创建的变量只能被当前线程访问，不能被其他线程访问和修改，也就是用户数据和请求线程绑定在一起**。当登录请求处理完毕后， SpringSecurity 会将 SecurityContextHolder 中的数据拿出来保存到 Session 中，同时将 SecurityContexHolder 中的数据清空。以后每当有请求到来时，SpringSecurity 就会先从`Session`中取出用户登录数据，保存到 SecurityContextHolder 中，方便在该请求的后续处理过程中使用，同时**在请求结束时**将 SecurityContextHolder 中的数据拿出来保存到 Session 中，然后将 Security 中的 SecurityContextHolder 中的数据清空。这一策略非常方便用户在Controller、Service层以及任何代码中获取当前登录用户数据

![在这里插入图片描述][574cdd19cbf94730bc9473fbf189967e.png_pic_center]

*  实际上 **SecurityContextHolder** 存储的是 **SecurityContext**，在 SecurityContext 中存储的是 **Authentication**

![在这里插入图片描述][ea467dd51a154b6fb1069bf71134506f.png_pic_center]

这种设计是典型的**策略设计模式**

public class SecurityContextHolder {
        
    
       public static final String MODE_THREADLOCAL = "MODE_THREADLOCAL";
    
       public static final String MODE_INHERITABLETHREADLOCAL = "MODE_INHERITABLETHREADLOCAL";
    
       public static final String MODE_GLOBAL = "MODE_GLOBAL";
    
       private static final String MODE_PRE_INITIALIZED = "MODE_PRE_INITIALIZED";
    
       private static String strategyName = System.getProperty(SYSTEM_PROPERTY);
    
       private static SecurityContextHolderStrategy strategy;
    
       // ...
    
       private static void initializeStrategy() {
        
          if (MODE_PRE_INITIALIZED.equals(strategyName)) {
        
             Assert.state(strategy != null, "When using " + MODE_PRE_INITIALIZED
                   + ", setContextHolderStrategy must be called with the fully constructed strategy");
             return;
          }
          if (!StringUtils.hasText(strategyName)) {
        
             // Set default
             strategyName = MODE_THREADLOCAL;
          }
          if (strategyName.equals(MODE_THREADLOCAL)) {
        
             strategy = new ThreadLocalSecurityContextHolderStrategy();
             return;
          }
          if (strategyName.equals(MODE_INHERITABLETHREADLOCAL)) {
        
             strategy = new InheritableThreadLocalSecurityContextHolderStrategy();
             return;
          }
          if (strategyName.equals(MODE_GLOBAL)) {
        
             strategy = new GlobalSecurityContextHolderStrategy();
             return;
          }
          // Try to load a custom strategy
          try {
        
             Class<?> clazz = Class.forName(strategyName);
             Constructor<?> customStrategy = clazz.getConstructor();
             strategy = (SecurityContextHolderStrategy) customStrategy.newInstance();
          }
          catch (Exception ex) {
        
             ReflectionUtils.handleReflectionException(ex);
          }
       }
        // ...
    }

1.  `MODE THREADLOCAL`：这种存放策略是将 SecurityContext 存放在 ThreadLocal 中，由于 Threadlocal 的特点是在哪个线程中存储就要在哪个线程中读取，这其实非常适合 web 应用，因为在默认情况下，一个请求无论经过多少 Filter 到达 Servlet，都是由一个线程来处理的。这也是 SecurityContextHolder 的默认存储策略，这种存储策略意味着如果在具体的业务处理代码中，开启了子线程，在子线程中去获取登录用户数据，就会获取不到
2.  `MODE INHERITABLETHREADLOCAL`：这种存储模式适用于多线程环境，如果希望在子线程中也能够获取到登录用户数据，那么可以使用这种存储模式
3.  `MODE GLOBAL`：这种存储模式实际上是将数据保存在一个静态变量中，在 JavaWeb 开发中，这种模式很少使用到

> SecurityContextHolderStrategy

通过 SecurityContextHolderStrategy 得知， SecurityContextHolderStrategy 接口用来定义存储策略方法

![在这里插入图片描述][a5f31376658347748b56c993b153b349.png_pic_center]

接口中一共定义了四个方法：

*  **clearContext**：该方法用来清除存储的 SecurityContext 对象
 *  **getContext**：该方法用来获取存储的 SecurityContext 对象
 *  **setContext**：该方法用来设置存储的 SecurityContext 对象
 *  **createEmptyContext**：该方法用来创建一个空的 SecurityContext 对象

![在这里插入图片描述][ea0b1cd34f29437c803a57b782e500f3.png_pic_center]

从上面可以看到，每一个实现类对应一种策略的实现

##### 4.8.2 登录用户数据获取 #####

*  **代码中获取认证之后的用户数据**

1.  `application.yml`文件

# 端口号
    server:
      port: 3035
    # 服务应用名称
    spring:
      application:
        name: SpringSecurity02
      # 关闭thymeleaf缓存(用于修改完之后立即生效)
      thymeleaf:
        cache: false
      # 配置登录用户名、密码
      security:
        user:
          name: root
          password: root
          roles:
            - admin
            - user

1.  **HelloController**

package com.vinjcent.controller;
    
    import org.springframework.security.core.Authentication;
    import org.springframework.security.core.context.SecurityContextHolder;
    import org.springframework.security.core.userdetails.User;
    import org.springframework.web.bind.annotation.RequestMapping;
    import org.springframework.web.bind.annotation.RestController;
    
    @RestController
    public class HelloController {
        
    
        @RequestMapping("/hello")
        public String hello() {
        
            System.out.println("Hello Security");
            // 1.获取认证信息
            Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
            User user = (User) authentication.getPrincipal();
            System.out.println("身份信息: " + user.getUsername());
            System.out.println("权限信息: " + user.getAuthorities());
    
            // 模拟子线程获取(默认策略为本地线程,不支持多线程获取)
            new Thread(() -> {
        
                Authentication authentication1 = SecurityContextHolder.getContext().getAuthentication();
                System.out.println("子线程获取: " + authentication1);
            }).start();
    
            return "Hello Security";
        }
    }

> 单线程情况下

![在这里插入图片描述][a9721dbe42f24e60a2491d9543f15407.png_pic_center]

> 多线程情况下

# 根据下图 SYSTEM_PROPERTY 系统属性配置
    -Dspring.security.strategy=MODE_INHERITABLETHREADLOCAL
    # MODE_THREADLOCAL
    # MODE_INHERITABLETHREADLOCAL
    # MODE_GLOBAL
    # MODE_PRE_INITIALIZED

![在这里插入图片描述][31e2d7a8129d4bd19cada477eafdb602.png_pic_center]

![在这里插入图片描述][452786a836044df8bbdeb7968bf963ca.png_pic_center]

![在这里插入图片描述][83563f746b12414297dc24348a448b66.png_pic_center]

*  **从上面可以看出，默认策略（单线程）是无法在子线程中获取用户信息的，如果需要在子线程中获取必须使用第二种策略（多线程），默认策略是通过`SYSTEM_PROPERTY`加载的，因此我们可以通过增加 VM Options 参数进行修改**

##### 4.8.3 页面上获取用户信息 #####

1.  引入依赖

<dependency>
        <groupId>org.thymeleaf.extras</groupId>
        <artifactId>thymeleaf-extras-springsecurity5</artifactId>
        <version>3.0.4.RELEASE</version>
    </dependency>

1.  页面加入命名空间

1.  页面中使用

![在这里插入图片描述][36fe49348ebf412fb10cb87d3e8c4633.png_pic_center]

[7da791aacc624da68560fa63b1393381.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/c2be992662b14cca9eee4dba1eb18e92.png
[8d5d6cd263294e6bab988c7185c27e52.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/fea9fb1935584addb84b3d4a1290878c.png
[fd782e39d715443b8a728dfd4a92c7ce.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/fe044ff4a4224deb88a1c9ce62f4295a.png
[77c862822eb840bc91e49d8e8771d2f2.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/3418096749204492aae36cfc27a8c247.png
[4c58549ef1cb4986a19fbe901ccaa38c.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/0733b4db47814c2c9e191356fccaeb34.png
[c754dcdbfe774ce7adf8fe07a3aea880.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/853354ece4cf43669bed5984a07c8162.png
[64368efae698456082b46e2a1d1a4c6d.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/ec799d969e8246bdadea5495a8d72f94.png
[69908019c8374ea48fc76c99972c4fc2.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/47f6f13fdde34ffdb1b9c24e0605ce6a.png
[8af3375cacfa40a9ae20e35ba2270432.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/984fe8462f7945be8cf7922cec2985d3.png
[d08e0bf403ff4a1dabfe7921cb3d39cb.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/72467d0e244841eb90cc7e7c2fe56737.png
[f5d8ab11cece4154ad9890ad93a6db1e.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/2a76ba0969c049c8ac633bee11ff586f.png
[a29c9beffd4b4bedaa96bc3bda610138.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/d4020df797b84a66a798a845308c17af.png
[f7ed0534ec9f42f6875b012e447c8aa2.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/2eddfd3aa3384e368698bd21a733174d.png
[96ad98049f87408e9dbb396903b17f83.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/7ade316648454af99b6ec8e0451f5bb6.png
[6c69a4896d6943b498da012e1e687f18.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/763fd7b3c6b6485cb146bdda82cd951d.png
[c93e2fd17ad4415bac958d4d36afec8c.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/06b661e080c54ebfbec03f74dbafd554.png
[056934a8cf3e4778a2c379807c1d5738.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/73236dd093a24c9ca90c2edaf68f8152.png
[3691499846dd4bcda1e91e6b2d8b3421.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/aca1b02ab2fc4af08fc686acaaae2470.png
[574cdd19cbf94730bc9473fbf189967e.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/6606941dd150496ea84266415cf9e85e.png
[ea467dd51a154b6fb1069bf71134506f.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/bddaa93495a542cb92373dd3d54e3f90.png
[a5f31376658347748b56c993b153b349.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/907e0c260fa04a439e85a40da774bc90.png
[ea0b1cd34f29437c803a57b782e500f3.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/0b52530c3532426687de08331db32351.png
[a9721dbe42f24e60a2491d9543f15407.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/f508622b3a374374bc33a10a9d55527d.png
[31e2d7a8129d4bd19cada477eafdb602.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/ea1f674fa16347729d66b41e8ed0d897.png
[452786a836044df8bbdeb7968bf963ca.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/0ce6cc2521fc47dba5c4784bef8fe399.png
[83563f746b12414297dc24348a448b66.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/a2e4d44713cb4b35924923686bc94915.png
[36fe49348ebf412fb10cb87d3e8c4633.png_pic_center]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/a806a1f0180c445a809cf9b08afe57f2.png