spring security登录

太过爱你忘了你带给我的痛 2022-04-04 12:30 170阅读 0赞

form-login是spring security命名空间配置登录相关信息的标签,它包含如下属性：   
1. login-page 自定义登录页url,默认为/login   
2. login-processing-url 登录请求拦截的url,也就是form表单提交时指定的action   
3. default-target-url 默认登录成功后跳转的url   
4. always-use-default-target 是否总是使用默认的登录成功后跳转url   
5. authentication-failure-url 登录失败后跳转的url   
6. username-parameter 用户名的请求字段 默认为userName   
7. password-parameter 密码的请求字段 默认为password   
8. authentication-success-handler-ref 指向一个AuthenticationSuccessHandler用于处理认证成功的请求,不能和default-target-url还有always-use-default-target同时使用   
9. authentication-success-forward-url 用于authentication-failure-handler-ref   
10. authentication-failure-handler-ref 指向一个AuthenticationFailureHandler用于处理失败的认证请求   
11. authentication-failure-forward-url 用于authentication-failure-handler-ref   
12. authentication-details-source-ref 指向一个AuthenticationDetailsSource,在认证过滤器中使用

spring security登录相关的过滤器

首先应注意的一点是,spring security 3.x 默认的登录拦截URL是/j\_spring\_security\_check,而spring security 4.x默认拦截的URL是/login。在spring security中,具体处理表单登录验证的是o.s.s.w.a.UsernamePasswordAuthenticationFilter,另外一个过滤器o.s.s.w.a.ui.DefaultLoginPageGeneratingFilter用于在没有指定登录页时动态生成一个默认登录页

登录配置

登录页面 login.jsp

1.  `<%@ page language="java" contentType="text/html; charset=UTF-8"`
2.  `pageEncoding="UTF-8"%>`
3.  `<!DOCTYPE html>`
4.  `<html>`
5.  `<head>`
6.  `<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">`
7.  `<title>Insert title here</title>`
8.  `</head>`
9.  `<body onload='document.f.username.focus();'>`
10. `<h3>Login with Username and Password</h3>`
11. `<form name='f' action='${pageContext.request.contextPath }/login'`
12. `method='POST'>`
13. `<table>`
14. `<tr>`
15. `<td>User:</td>`
16. `<td><input type='text' name='username' value=''></td>`
17. `</tr>`
18. `<tr>`
19. `<td>Password:</td>`
20. `<td><input type='password' name='password' /></td>`
21. `</tr>`
22. `<tr>`
23. `<td colspan='2'><input name="submit" type="submit"`
24. `value="Login" /></td>`
25. `</tr>`
26. `</table>`
27. `</form>`
28. `</body>`
29. `</html>`

登录成功页面 index.jsp

1.  `<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>`
2.  `<!DOCTYPE html>`
3.  `<html>`
4.  `<head>`
5.  `<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">`
6.  `<title>Insert title here</title>`
7.  `</head>`
8.  `<body>`
9.  `登录成功`
10. `</body>`
11. `</html>`

登录失败页面 login-failure.jsp

页面配置完成,剩下的就是映射url到具体的页面

登录成功页面映射 HelloController.java

1.  `@Controller`
2.  `public class HelloController {`
3.   
4.  `@RequestMapping(value={"/welcome","/"},method=RequestMethod.GET)`
5.  `public String welcome(){`
6.  `return "index";`
7.  `}`
8.  `}`

登录页面及登录失败页面映射 LoginController.java

1.  `@Controller`
2.  `public class LoginController {`
3.   
4.  `@RequestMapping(value = "/login", method = RequestMethod.GET)`
5.  `public String loginPage(@RequestParam(value = "error", required = false) String error, Model model) {`
6.  `if (error != null) {`
7.  `return "login-failure";`
8.  `}`
9.  `return "login";`
10. `}`
11. `}`

spring security配置 spring-security.xml

1.  `<?xml version="1.0" encoding="UTF-8"?>`
2.  `<bean:beans xmlns="http://www.springframework.org/schema/security"`
3.  `xmlns:bean="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"`
4.  `xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd`
5.  `http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">`
6.   
7.  `<http pattern="/login" security="none"></http>`
8.   
9.  `<http auto-config="true" use-expressions="true">`
10. `<intercept-url pattern="/*" access="hasRole('ROLE_USER')" />`
11. `<form-login login-page="/login" login-processing-url="/login" always-use-default-target="true"`
12. `default-target-url="/welcome" authentication-failure-url="/login?error=error" />`
13. `</http>`
14. `<authentication-manager alias="authenticationManager">`
15. `<authentication-provider>`
16. `<user-service>`
17. `<user authorities="ROLE_USER" name="guest" password="guest" />`
18. `</user-service>`
19. `</authentication-provider>`
20. `</authentication-manager>`
21.  
22. `</bean:beans>`

现在，配置基本完成,启动项目后,在登录页面输入用户名和密码,不管正确与否都会有405错误Request method ‘POST’ not supported。为什么会出现这个错误呢？

登录请求405错误

在登录请求中出现405错误,其实是我们在配置过程中,spring mvc和spring security出现了一点冲突导致的。

首先,请注意下面这两个配置段

*  1

<form-login login-page="/login" login-processing-url="/login" ......

*  1

第一个配置告诉spring security,类似于/login的url请求不做过滤处理,而第二个配置信息又告诉spring security url为/login的post请求登录请求处理。正是这种冲突导致了405错误的发生。

既然知道了错误原因，那么只要避免冲突就能解决这个问题:使登录页的请求和登录处理的请求不一致,然后只配置登录页的请求不做拦截处理.

我采用的方法是使用默认的登录URL /login,修改登录页面跳转url为/loginPage。请自行修改代码和配置信息

这样是不是就大工告成了呢？很遗憾，当你启动程序时,输出用户名和密码,不管正确与否，都会有404 Not Found等着你,这又是为什么呢?

登录请求404错误

首先,建议你看一下spring security自动生成的登录页源码,你会发现有如下代码

对于什么是csrf,请自行参考网上的资料。

spring security默认情况下csrf protection是开启的,由于我们的登录页没有配置csrf的相关信息，因此spring security内置的过滤器将此链接置为无效链接

解决办法就是配置csrf protection为不可用状态,在配置文件中增加

附上完整的spring-security.xml

1.  `<?xml version="1.0" encoding="UTF-8"?>`
2.  `<bean:beans xmlns="http://www.springframework.org/schema/security"`
3.  `xmlns:bean="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"`
4.  `xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd`
5.  `http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">`
6.   
7.  `<http pattern="/loginPage" security="none"></http>`
8.   
9.  `<http auto-config="true" use-expressions="true">`
10. `<intercept-url pattern="/*" access="hasRole('ROLE_USER')" />`
11. `<form-login login-page="/loginPage" login-processing-url="/login" always-use-default-target="true"`
12. `default-target-url="/welcome" authentication-failure-url="/loginPage?error=error" />`
13. `<csrf disabled="true"/>`
14. `</http>`
15. `<authentication-manager alias="authenticationManager">`
16. `<authentication-provider>`
17. `<user-service>`
18. `<user authorities="ROLE_USER" name="guest" password="guest" />`
19. `</user-service>`
20. `</authentication-provider>`
21. `</authentication-manager>`
22. `</bean:beans>`

到此为止,大功告成

源码下载

源码下载地址[https://github.com/SmallBadFish/spring\_security\_demo/archive/0.1.1-customlogin.zip][https_github.com_SmallBadFish_spring_security_demo_archive_0.1.1-customlogin.zip]

[https_github.com_SmallBadFish_spring_security_demo_archive_0.1.1-customlogin.zip]: https://github.com/SmallBadFish/spring_security_demo/archive/0.1.1-customlogin.zip