在springboot中使用springsecurity实现安全控制

谁践踏了优雅 2022-01-28 19:59 372阅读 0赞

[SpringSecurity官方文档][SpringSecurity]

我们在编写web应用时经常要对一些页面做安全控制，比如：对于没有访问权限的用户需要转到登录表单页面。要实现访问控制方法的多种多样，可以通过AOP、拦截器实现，也可以通过框架实现（如：Apache shiro、spring security）。

本文主要学习一下在springboot中使用springsecurity实现安全控制。

定义控制层controller：

@Controller
    public class HelloController {
        @RequestMapping("/")
        public String index() {
            return "index"; //映射到首页index.html
        }
    
        @RequestMapping("/hello")
        public String hello() {
            return "hello";  //映射到hello.html页面
        }
    
        @RequestMapping("/login")
        public String login() {
            return "login"; //映射到login.html
        }
    }

添加pom依赖

<dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>

spring security的配置类

package com.example.springboottest;
    
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     * spring security的配置类
     * @author: liumengbing
     * @date: 2019/04/23 14:16
     **/
    @Configuration
    @EnableWebSecurity
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                    .authorizeRequests()
                        .antMatchers("/","/home").permitAll()
                        .anyRequest().authenticated()
                        .and()
                    .formLogin()
                        .loginPage("/login")
                        .permitAll()
                        .and()
                    .logout()
                        .permitAll();
        }
    
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.inMemoryAuthentication()
                    .withUser("user").password("password").roles("USER");
        }
    }

*  1、通过 @EnableWebSecurity注解开启Spring Security的功能
 *  2、继承WebSecurityConfigurerAdapter，并重写它的方法来设置一些web安全的细节
    
     *  1）configure(HttpSecurity http)方法  
        通过authorizeRequests()定义哪些URL需要被保护、哪些不需要被保护。例如以上代码指定了/和/home不需要任何认证就可以访问，其他的路径都必须通过身份验证。  
        通过formLogin()定义当需要用户登录时候，转到的登录页面。
     *  2）configure(AuthenticationManagerBuilder auth)方法，在内存中创建了一个用户，该用户的名称为user，密码为password，用户角色为USER。

根据配置，spring security提供了一个过滤器来拦截请求并验证用户身份。如果用户没有进行身份认证，直接访问index页面，页面则会重定向到login登录页面，提示用户进行登录；如果用户身份认证失败，页面就重定向到/login?error，并且页面中会展现相应的错误信息。

几行简单的配置就实现我们需要的功能，由此可见spring security还是相当强大的。下面我们来详细学习一下上面spring security的配置类。

**WebSecurityConfigurerAdapter**

在这个配置类中最主要的就是WebSecurityConfigurerAdapter这个类，这个类下面有很多方法  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xtYjU1_size_16_color_FFFFFF_t_70]  
WebSecurityConfigurerAdapter在configure( HttpSecurity http)方法中提供了一个默认的配置，如下：

@Configuration
    @EnableWebSecurity
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
        protected void configure(HttpSecurity http) throws Exception {
            http
                    .authorizeRequests()
                    .anyRequest().authenticated()
                    .and()
                    .formLogin()
                    .and()
                    .httpBasic();
        }
    }

*  1、authorizeRequests()配置路径拦截，表明路径访问所对应的权限，角色，认证信息。
 *  2、formLogin()对应表单认证相关的配置
 *  3、httpBasic()可以配置basic登录  
    这是一个使用java configuration配置HTTPSecurity 的典型配置，其中http作为根开始配置，每一个and()对应了一个模块的配置（等同于xml配置中的结束标签）

回到我们最开始的spring security的配置类中的配置，除了“/”,”/home”(首页),”/login”(登录),”,之外，其他路径都需要认证。并且指定“/login”该路径为登录页面，当未登录的用户尝试访问任何受保护的资源时，都会跳转到“/login”。

**@EnableWebSecurity**

@Retention(value = java.lang.annotation.RetentionPolicy.RUNTIME)
    @Target(value = { java.lang.annotation.ElementType.TYPE })
    @Documented
    @Import({ WebSecurityConfiguration.class,
    		SpringWebMvcImportSelector.class })
    @EnableGlobalAuthentication
    @Configuration
    public @interface EnableWebSecurity {
    
    	/**
    	 * Controls debugging support for Spring Security. Default is false.
    	 * @return if true, enables debug support with Spring Security
    	 */
    	boolean debug() default false;
    }

@EnableWebSecurity 是一个组合注解，其中 @Import是springboot提供的用于引入外部的配置的注解，可以理解为： @EnableWebSecurity注解激活了@Import注解中包含的配置类。

*  1、SpringWebMvcImportSelector的作用是判断当前的环境是否包含springmvc，因为spring security可以在非spring环境下使用，为了避免DispatcherServlet的重复配置，所以使用了这个注解来区分。
 *  2、WebSecurityConfiguration顾名思义，是用来配置web安全的
 *  3、@EnableGlobalAuthentication注解的源码如下

@Retention(value = java.lang.annotation.RetentionPolicy.RUNTIME)
    @Target(value = { java.lang.annotation.ElementType.TYPE })
    @Documented
    @Import(AuthenticationConfiguration.class)
    @Configuration
    	public @interface EnableGlobalAuthentication {
    }

@EnableWebSecurity完成的工作便是加载了WebSecurityConfiguration，AuthenticationConfiguration这两个核心配置类，也就此将spring security的职责划分为了配置安全信息，配置认证信息两部分。

其中，[WebSecurityConfiguration][]是spring security的核心过滤器(使用了代理模式来实现安全过滤)，[AuthenticationConfiguration][]主要实现了认证机制相关的内容。

[SpringSecurity]: https://docs.spring.io/spring-security/site/docs/4.1.0.RELEASE/reference/htmlsingle/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xtYjU1_size_16_color_FFFFFF_t_70]: /images/20220129/4e04f1f7cb63483f984b388f77e2a4c0.png
[WebSecurityConfiguration]: https://fengyilin.iteye.com/blog/2409220
[AuthenticationConfiguration]: https://fengyilin.iteye.com/blog/2410779