Spring Security表单登录认证

朴灿烈づ我的快乐病毒、 2022-04-13 03:50 280阅读 0赞

### Spring Security是一个强有力并且高度定制化的认证和访问控制框架，致力于为Java应用程序提供认证和授权。 ###

特性：  
1、为认证和授权提供综合性和扩展性支持。  
2、免受session定位、点击劫持、跨站点请求伪装等攻击。  
3、Servelt API集成。  
4、与Spring MVC集成

# 一、Spring Security架构 #

###    1、认证 ###

AuthenticationManager是主要的认证策略接口，该接口只包含一个方法。  
public interface AuthenticationManager \{

Authentication authenticate(Authentication authentication)  
    throws AuthenticationException;

认证管理器通过authenticate方法可做下面3处理：   
(1)如果能证明输入是一个合理的用户标识，则返回Authentication对象。  
(2)如果输入不是一个合理的用户标识，抛出AuthenticationExcepton。  
(3)如果无法决策则返回null。  
备注：AuthenticationException为运行时异常，根据需要进行处理。

AuthenticationManager常用的实现为ProviderManager，ProviderManager会委托给AuthenticationProvider实例链。  
AuthenticationProvider和AuthenticataionManager相似，但提供了额外的方法允许调用者查询是否支持给定的Authentication类型。

public interface AuthenticationProvider \{  
    Authentication authenticate(Authentication authentication)  
            throws AuthenticationException;

boolean supports(Class<?> authentication);  
\}

### 2、授权(访问控制) ###

认证成功后就是授权，核心策略是AccessDecisionManager，框架提供了访问决策管理器3种实现，它们都会委托给AccessDecisionVoter，就像  
ProviderManager委托给AuthenticationProvider。

public interface AccessDecisionVoter \{

boolean supports(ConfigAttribute attribute);

boolean supports(Class<?> clazz);

int vote(Authentication authentication, S object,  
            Collection<ConfigAttribute> attributes);  
\}

object参数代表用户想要访问的任何事物(如：web或者java类中的方法)，ConfigAttributes代表访问资源所需的许可证等级，  
ConfigAttribute是一个接口，只有一个getAttribute()方法，返回值为谁允许访问资源的表达式规则，例如用户角色的名字:ROLE\_ADMIN或者ROLE\_AUDIT，一般以ROLE\_前缀开头。

# 二、Web Security #

**1、Spring security在web层是基于Filters的，下面是单个http请求的处理层级：**  
Client <-> Filter <-> Filter <-> Filter <-> Servlet  
客户单发送请求到app，由容器来决定使用哪些filters和servelt，一个请求最多一个servlet来处理，但能有多个filters，多个filters有排序，一个filter能否决其它剩余filter，并且能修改下游filter  
和servlet的请求与响应。

Spring security在过滤器链中注册为单个过滤器，具体类型为FilterChainProxy，默认被注册为@Bean来处理所有请求。下面是有过滤器链代理后单个http请求的处理层级：  
Client <-> Filter <-> FilterChainProxy(到多个filters) <-> Filter <-> Servlet  
备注：事实上在安全过滤器中还有隐含的一层，DelegatingFilterProxy，该代理会委托给FilterChainProxy(在容器中为一个@Bean，并且bean的名字固定为springSecurityFilterChain,该bean包含了所有  
安全相关的逻辑)

**2、FilterChainProxy下面可以有多个由spring security管理的过滤器链，并且会把请求分发到第一个匹配到的过滤器链，有且只有一个过滤器链来处理。**  
            FilterChainProxy  
/foo/\*\*            /bar/\*\*            /\*\*  
Filter            Filter            Filter  
Filter            Filter            Filter  
Filter            Filter            Filter  
注意：/foo/\*\*会比/\*\*先匹配到，匹配规则：精确匹配 > 路径匹配 > 通配符匹配 > 缺省匹配

3、一般没有其它自定义的FilterChainProxy有5个或过滤器链，第一个用来忽略静态资源，像/css/\*\*,/images/\*\*以及错误视图/error。最后一个过滤器链匹配/\*\*,  
包含认证，授权，异常处理，会话处理，头部写入等等。

# 三、Java配置 #

###    1、表单登录认证 ###

(1)配置类继承自WebSecurityConfigurerAdapter，并带上@EnableWebSecurity注解。

@EnableWebSecurity
    @Configuration
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    
      @Override
      protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()// 限制基于HttpServletReqeuest的请求访问
              .antMatchers("/", "/home").permitAll()// /和/home路径能被任何人访问
              .anyRequest().authenticated()// 其它请求需要身份认证
              .anyRequest().hasRole("USER")// 其它请求必须是USER角色，该方法默认会加上ROLE_前缀
            .and()
              .formLogin()// 支持基于表单的身份认证
              .loginPage("/login")// 指定跳转到登录页的url，若不指定则会生成默认登录页面，默认为/login
              .loginProcessingUrl("/loginProcess")// 指定认证处理的url，表单action指定地址必须为该地址，默认为/login
              .defaultSuccessUrl("/success")// 认证成功后默认跳转的地址，默认为/home
              .failureUrl("/loginProcess?error")// 认证失败后跳转的地址，默认为/login?error
              .permitAll()// 给用户所有与表单登录相关的url访问授权
            .and()
              .rememberMe()// 开启记住我的功能
              .rememberMeCookieName("remember-me")// 传给浏览器的cookie名，默认为remember-me
              .rememberMeParameter("remember-me")// 前端复选框传入的字段名，默认为remember-me
              .tokenValiditySeconds(30 * 1000)// cookie有效时间
              .key(UUID.randomUUID().toString())// 防止名为remember-me的token被修改的key，默认为随机数，生成随机数需要时间，最好指定固定值
            .and()
              .logout()// 开启退出登录支持
              .logoutUrl("/logout")// 触发退出登录的url，前端页面地址必须为改地址，默认为/logout
              .logoutSuccessUrl("/loginProcess?logout")// 退出登录跳转的地址
              .deleteCookies("remember-me")// 退出登录后删除名为remember-me的cookie，默认会删除remember-me功能对应的cookie
              .permitAll()// 授权所有与退出登录相关的url
            .and()
              .csrf().disable();// 禁用csrf，不禁用则要在表单里加上隐藏域或csrf标签
      }
    
      @Override
      protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // 创建DelegatingPasswordEncoder，该PasswordEncoder会使用BCryptPasswordEncoder对密码进行编码
        PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
        String encodedPwd = encoder.encode("123");
        // 前端传入的密码编码后与加密后的密码比对，编码后的格式为{编码器Id}+编码后的密码
        auth.inMemoryAuthentication().withUser("lyl").password(encodedPwd).roles("USER");
      }
    
      /**
       * 不重写configure(AuthenticationManagerBuilder auth)方法可以在容器中注册UserDetailService实例
       */
      // @Bean
      // public UserDetailsService userDetailsService() {
      // String encodedPwd = PasswordEncoderFactories.createDelegatingPasswordEncoder().encode("123");
      // UserDetails userDetails = User.withUsername("lyl").password(encodedPwd).roles("USER").build();
      // return new InMemoryUserDetailsManager(userDetails);
      // }
      
    }

(2)Web MVC相关配置

@Configuration
    public class WebMvcConfig implements WebMvcConfigurer {
    
      @Override
      public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/success").setViewName("success");
        registry.addViewController("login").setViewName("login");
      }
    
      @Override
      public void configureViewResolvers(ViewResolverRegistry registry) {
        registry.jsp("/WEB-INF/jsp/", ".jsp");
      }
    
    }
    
    @Controller
    public class AuthController {
    
      @RequestMapping("/loginProcess")
      public String handelRequest(String error, String logout) {
        // 如果是退出登录，则跳转到退出登录后的页面
        if (logout != null) {
          return "logout";
        }
    
        // 认证、授权失败或者直接访问该地址跳回到登录页面
        return "login";
      }
    }

(3)前端jsp表单

<form action="loginProcess" method="post">
    	
    	
    	<table>
    		<tr>
    			<td>用户名：</td>
    			<td><input name="username" type="text" /></td>
    		</tr>
    		<tr>
    			<td>密码：</td>
    			<td><input name="password" type="password" /></td>
    		</tr>
    		<tr>
    			
    			<td>记住我<input name="remember-me" type="checkbox" checked="checked" /></td>
    		</tr>
    		<tr>
    			<td><input type="submit" value="登录"></td>
    		</tr>
    	</table>
    </form>

### 2、JDBC Authentication(JDBC认证) ###

前面的用户名、密码等认证信息是保存在内存中的，实际上用户名、密码都保存在数据库中，Spring Security中提供了JDBC认证，指定数据源和编码器即可，步骤如下：  
(1)重写WebSecurityConfigurerAdapter中的configure方法

@Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
       // 创建DelegatingPasswordEncoder，该PasswordEncoder会使用BCryptPasswordEncoder对密码进行编码
       PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
       // 默认数据库模式为HSQL的，因此不要加上withDefaultSchema()
       // 保存在数据库中的密码应该是通过相应密码编码器进行加密的，这里需指定编码器
       auth.jdbcAuthentication().dataSource(dataSource).passwordEncoder(encoder);
    }

(2)在数据库中创建表，Spring Security默认会从下面表中读取用户身份以及权限信息。  
  
**mysql数据库表结构：**

create table users(
        username varchar(50) not null primary key,
        password varchar(100) not null,
        enabled boolean not null
    );
    
    create table authorities (
        username varchar(50) not null,
        authority varchar(50) not null,
        constraint fk_authorities_users foreign key(username) references users(username)
    );
    create unique index ix_auth_username on authorities (username,authority);

**oracle数据库表结构:**

create table users (
        username varchar2(128) primary key,
        password varchar2(128) not null,
        enabled char(1) check (enabled in ('y','n') ) not null
    );
    create table authorities (
        username varchar2(128) not null,
        authority varchar2(128) not null
    );
    alter table authorities add constraint authorities_unique unique(username, authority);
    alter table authorities add constraint authorities_fk1 foreign key(username) references users(username) enable;

**users表数据如下所示：**

### ![2018112917095813.png][] ###

**authorities表数据如下所示：**

### ![20181129171143172.png][] ###

注意：

(1)users表中的密码必须与配置AuthenticationManager时指定的PasswordEncoder编码后的密码一致。

(2)authorities表中的authority列的值必须以"ROLE\_"前缀开头。

##    3、密码编码器 ##

**DelegatingPasswordEncoder(委托密码编码器)**

Spring Security5.0以前默认的密码编码器是NoOpPasswordEncoder(要求明文密码)，现在默认的密码编码器是BCryptPasswordEncoder。

密码存储格式为：\{encoderId\}encodedPassword  
encoderId为编码器的标识符，用来查找应该使用哪个密码编码器，encoderId必须在编码后的密码之前，并且以"\{"开头，以"\}"结尾。

下面是不同编码器经过DelegatingPasswordEncoder委托后对原密码"password"进行编码后的密码：  
\{bcrypt\}$2a$10$dXJ3SW6G7P50lGmMkkmwe.20cQQubK3.HZWzG3YB1tlRy.fqvM/BG   
\{noop\}password   
\{pbkdf2\}5d923b44a6d129f3ddf3e3c8d29412723dcbde72445e8ef6bf3b508fbf17fa4ed4d6b99ca763d8dc   
\{scrypt\}$e0801$8bWJaSu2IKSn9Z9kM+TPXfOc/9bdYSrN1oD9qfVThWEwdRTnO7re7Ei+fUZRJ68k9lTyuTeUp4of4g24hHnazw==$OAOec05+bXxvuu/1qZ6NUR+xQYvYv7BeL1QxwRpY5Pc=   
\{sha256\}97cde38028ad898ebc02e690819fa220e88c62e0699403e94fff291cfffaf8410849f27605abcbc0

下面是Spring Security提供的一些PasswordEncoder的实例，与上一 一对应。

BCryptPasswordEncoder

NoOpPasswordEncoder

Pbkdf2PasswordEncoder

SCryptPasswordEncoder

StandardPasswordEncoder

[2018112917095813.png]: /images/20220413/1252607521a44799a174bf35244357fa.png
[20181129171143172.png]: /images/20220413/a7205c27217f410c85d4b8379fde071f.png