spring security4 之简单配置

最新推荐文章于 2022-07-06 08:45:20 发布

天外非

最新推荐文章于 2022-07-06 08:45:20 发布

阅读量3.5k

点赞数

CC 4.0 BY-SA版权

分类专栏： Java 文章标签： spring security4

本文链接：https://blog.youkuaiyun.com/crazystone4/article/details/45870697

Java 专栏收录该内容

23 篇文章

订阅专栏

本文介绍了从Spring Security 3迁移到Spring Security 4的主要变化，包括登录表单字段、HTTP配置选项等更新，并提供了配置示例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

spring security4 与 spring security3还是有一些区别的，目前这方面的资料很少，只能自己摸索，总结一些经验，记录下来

spring security4 取消了很多的setter注入方式，换成了构造器注入，其实在security3里有很多已经被@Deprecated，在security4里索性直接给删掉了

几个常用的提交地址及参数也都有了变化

j_spring_security_check 变成 login
j_password 变成 password
j_username 变成 username
_spring_security_remember_me 变成 remember_me

http节点中user-expressions属性security3默认是false，security4默认是true，

access-denied-page这个属性在security4中被删掉了,所以配置可以写成这样

auto-config="true"配置这个属性会实现一个简单的验证，但是官方并不推荐这样做，配置如下

<security:http auto-config="true" use-expressions="false">               
		
	<security:intercept-url pattern="/login.html"  access="IS_AUTHENTICATED_ANONYMOUSLY" />  
	<security:intercept-url pattern="/resources/**"   access="IS_AUTHENTICATED_ANONYMOUSLY" />
	<security:intercept-url pattern="/"   access="IS_AUTHENTICATED_ANONYMOUSLY" />
	<security:intercept-url pattern="/**" access="ROLE_USER" />  
	
	<security:access-denied-handler error-page="/error"/>
	<security:remember-me/>
	<security:logout logout-success-url="/" />
	
	<security:form-login login-page="/login.html" default-target-url="/" authentication-failure-url="/login.html?error=1" always-use-default-target="true" /> 

</security:http>

再配置一个验证器

<security:authentication-manager>        
	<security:authentication-provider ref="authenticationProvider"/>
</security:authentication-manager>

<bean id="authenticationProvider" class="org.springframework.security.authentication.dao.DaoAuthenticationProvider">
	<property name="hideUserNotFoundExceptions" value="false" />
	<property name="userDetailsService" ref="userDetailsServiceImpl" />
	<property name="passwordEncoder" ref="passwordEncoder" />  
	<property name="saltSource" ref="saltSource" />  
</bean>

<bean id="passwordEncoder" class="org.springframework.security.authentication.encoding.Md5PasswordEncoder" />  
<bean id="saltSource" class="org.springframework.security.authentication.dao.ReflectionSaltSource">  
    <property name="userPropertyToUse" value="username"/>  
</bean>

这里用的是MD5加盐值的验证方式，内部的加密格式是： MD5(password{usernam})，如果不想用默认的加密格式可以覆写Md5PasswordEncoder这个类的这个mergePasswordAndSalt方法

public class Md5PasswordEncoder extends org.springframework.security.authentication.encoding.Md5PasswordEncoder {


    protected String mergePasswordAndSalt(String password, Object salt, boolean strict) {
        if(password == null) {
            password = "";
        }


        if(strict && salt != null && (salt.toString().lastIndexOf("{") != -1 || salt.toString().lastIndexOf("}") != -1)) {
            throw new IllegalArgumentException("Cannot use { or } in salt.toString()");
        } else {
            return salt != null && !"".equals(salt) ? MD5.getMD5ofStr(password).toUpperCase() +  salt.toString() :password;
        }
    }
 }

完整源码下载

https://github.com/skyrocks/a-spring