拦截器之HttpSecurity

最新推荐文章于 2025-04-16 09:50:16 发布
最新推荐文章于 2025-04-16 09:50:16 发布
阅读量1.7k 收藏 5
点赞数 2
分类专栏： Java Springboot 拦截器 文章标签： 拦截器 HttpSecurity CSRF 跨站域请求伪造 java jwt
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/hongdunyang/article/details/108601970
版权

一、 HttpSecurity 常用方法及说明

方法说明
openidLogin()用于基于 OpenId 的验证
headers()将安全标头添加到响应
cors()配置跨域资源共享（ CORS ）
sessionManagement()允许配置会话管理
portMapper()允许配置一个PortMapper(HttpSecurity#(getSharedObject(class)))，其他提供SecurityConfigurer的对象使用 PortMapper 从 HTTP 重定向到 HTTPS 或者从 HTTPS 重定向到 HTTP。默认情况下，Spring Security使用一个PortMapperImpl映射 HTTP 端口8080到 HTTPS 端口8443，HTTP 端口80到 HTTPS 端口443
jee()配置基于容器的预认证。 在这种情况下，认证由Servlet容器管理
x509()配置基于x509的认证
rememberMe允许配置“记住我”的验证
authorizeRequests()允许基于使用HttpServletRequest限制访问
requestCache()允许配置请求缓存
exceptionHandling()允许配置错误处理
securityContext()在HttpServletRequests之间的SecurityContextHolder上设置SecurityContext的管理。 当使用WebSecurityConfigurerAdapter时，这将自动应用
servletApi()将HttpServletRequest方法与在其上找到的值集成到SecurityContext中。 当使用WebSecurityConfigurerAdapter时，这将自动应用
csrf()添加 CSRF 支持，使用WebSecurityConfigurerAdapter时，默认启用
logout()添加退出登录支持。当使用WebSecurityConfigurerAdapter时，这将自动应用。默认情况是，访问URL"/ logout"，使HTTP Session无效来清除用户，清除已配置的任何#rememberMe()身份验证，清除SecurityContextHolder，然后重定向到"/login?success"
anonymous()允许配置匿名用户的表示方法。 当与WebSecurityConfigurerAdapter结合使用时，这将自动应用。 默认情况下，匿名用户将使用org.springframework.security.authentication.AnonymousAuthenticationToken表示，并包含角色 “ROLE_ANONYMOUS”
formLogin()指定支持基于表单的身份验证。如果未指定FormLoginConfigurer#loginPage(String)，则将生成默认登录页面
oauth2Login()根据外部OAuth 2.0或OpenID Connect 1.0提供程序配置身份验证
requiresChannel()配置通道安全。为了使该配置有用，必须提供至少一个到所需信道的映射
httpBasic()配置 Http Basic 验证
addFilterAt()在指定的Filter类的位置添加过滤器

二、Spring Security下的枚举SessionCreationPolicy,管理session的创建策略

  • ALWAYS：总是创建HttpSession
  • IF_REQUIRED：Spring Security只会在需要时创建一个HttpSession
  • NEVER：Spring Security不会创建HttpSession，但如果它已经存在，将可以使用HttpSession
  • STATELESS：Spring Security永远不会创建HttpSession，它不会使用HttpSession来获取SecurityContext

三、CSRF介绍

CSRF（Cross Site Request Forgery, 跨站域请求伪造）是一种网络的攻击方式。
跨站域请求伪造

从上图可以看出，A网站通过cookie来识别用户（C），当用户成功进行身份验证之后浏览器就会得到一个标识其身份的cookie，只要不关闭浏览器或者退出登录，以后访问A网站会一直带上这个cookie。如果这期间浏览器被人控制着向A网站发起请求去执行一些用户不想做的功能（比如添加账号），这就是会话劫持了。因为这个不是用户真正想发出的请求，这就是所谓的“请求伪造”。此外，由于请求可以从第三方网站提交，所以前缀跨站二字，即从B网站发起。

为什么有时候要禁用CSRF：CSRF本质是盗用cookie, 无cookie方案就可以禁用。只是创建一个非浏览器客户端使用的服务,就可以禁用CSRF保护。

【springboot+security】2、HttpSecurity 的配置不同的拦截规则
江南雨敲窗的博客
07-14 2578
1、配置不同的拦截规则 前一节我们没有对sping security做任何配置，现在我们要对不通的访问路径进行配置不同的拦截规则，那就需要我们配置HttpSecurity。 @Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Bean PasswordEncoder passwordEncoder() { return new BCryptPasswordEn
HttpSecurity
weixin_45822542的博客
06-12 1327
防御CSRF攻击的方法包括使用CSRF token , Referer验证 ,双重提交Cookie和设置SameSite Cookie;Spring Security 提供了内置的CSRF保护机制 ,通过简单配置启用和定制这个功能,以确保应用程序的安全性;这是Spring Security提供的配置类, 用户保护基于HTTP的请求 ,通过。,通过诱导用户在不知情的情况下执行恶意操作;
SpringSecurity Web安全配置：HttpSecurity与WebSecurityConfigurerAdapter
程序媛学姐的博客
03-25 2238
Spring Security的配置体系围绕着安全过滤器链构建，通过一系列配置类和构建器模式提供了声明式的安全定义方式。在Spring Security 5.7之前，WebSecurityConfigurerAdapter是配置的核心基类，开发者通过继承并重写其方法定义安全规则。从5.7版本开始，Spring Security推荐使用基于组件的配置方式，直接定义SecurityFilterChain Bean，但核心概念保持不变。
HttpSecurity初步理解
骑着蜗牛向前跑的博客
06-19 2万+
关于用户身份验证的相关知识请参看这个链接，本文只对HttpSecurity做以简单介绍。 Spring Security是一个强大的、可根据需求高度自定义的用户认证和访问控制框架。Spring Security怎么保证所有向Spring application发送请求的用户必须先通过认证；怎么保证它自己支持用户通过表单的方式进行认证。解决的办法是Spring Security中有个WebSec...
深入理解 HttpSecurity【源码篇】
江南一点雨的专栏
07-22 3832
HttpSecurity 也是 Spring Security 中的重要一环。我们平时所做的大部分 Spring Security 配置也都是基于 HttpSecurity 来配置的。因此我们有必要从源码的角度来理解下 HttpSecurity 到底干了啥？ 1.抽丝剥茧 首先我们来看下 HttpSecurity 的继承关系图： 可以看到，HttpSecurity 继承自 AbstractConfiguredSecurityBuilder，同时实现了 SecurityBuilder 和 HttpSecur
Spring框架中的过滤器、拦截器与Spring Security：深入比较与应用实践
m0_75236543的博客
04-16 1168
Spring框架是一个轻量级的开源Java平台，它为现代Java应用程序开发提供了全面的基础设施支持。Spring的核心特性包括依赖注入(DI)、面向切面编程(AOP)、事务管理、数据访问等，这些特性使得开发者能够构建松耦合、易于测试和维护的企业级应用。：提供IoC容器和依赖注入功能Spring AOP：提供面向切面编程实现Spring MVC：基于模型-视图-控制器模式的Web框架：认证和授权框架：简化数据访问操作：快速应用开发的约定优于配置解决方案。
SpringMvc 拦截器
04-16
在实际应用中，拦截器可以结合Spring Security进行权限控制，例如检查用户是否已登录，或者在处理完请求后记录操作日志。还可以利用`ModelAndView`对象在`postHandle`方法中修改视图数据，以实现动态页面布局或添加...
Spring Security 自定义登录拦截器
qq_17178219的博客
11-22 1946
Spring Security 自定义登录拦截器
Spring Security介绍（三）过滤器（2）自定义过滤器拦截器
w_t_y_y的博客
04-27 2346
Component@Slf4j@Overridelog.info("进入UrlFilter");@Component@Slf4j@Overridelog.info("进入UrlFilter-one");修改自定义的UrlFilter，修改为继承OncePerRequestFilter@Component@Slf4j@Overridelog.info("进入UrlFilter");
springSecurity 学习（三）Spring Security常见的拦截器
hzau_itdog的博客
01-07 2729
Spring Security常见的拦截器 1 . org.springframework.security.web.context.SecurityContextPersistenceFilter 首当其冲的一个过滤器，作用之重要，自不必多言。 SecurityContextPersistenceFilter主要是使用SecurityContextRepository在session中保存或更新一个 SecurityContext，并将SecurityContext给以后的过...
`HttpSecurity`类
ranbo_Q的博客
05-27 322
类是Spring Security中用于配置Web安全性的主要类之一。它提供了一系列方法，用于配置不同方面的Web安全性。下面是：配置请求的授权规则，定义哪些请求需要经过身份验证或授权。：指定需要授权的URL路径模式。可以设置多个URL路径，并通过其他方法来设置访问权限要求，如hasRole()等。：允许所有用户访问指定的URL路径，即无需进行身份验证。：要求用户进行身份验证，即需要登录后才能访问指定的URL路径。hasRole()：要求用户具有特定的角色才能访问指定的URL路径。：配置基于表单的身份验证。
【https】 1 HTTP Security （bb102-1）
qfzhangwei的专栏
06-01 4708
A secure system shall provide the following assurances: 安全系统应提供以下保证： Authentication:"The person is who he says he is."This is usually carried out via "username and password".Other techniques in...
HttpSecurity和WebSecurity
mingzq123的博客
03-22 1157
它提供了一些方法，用于配置 Spring Security 的一些基本行为，如忽略某些请求、设置用户信息来源、启用 HTTPS 等。它提供了一些方法，用于配置请求的身份认证、授权、跨站请求伪造防护等。在该方法之后，可以通过一系列的配置方法来配置哪些请求需要进行授权，以及授权的方式和条件。方法用于开启请求授权配置，可以通过一系列的配置方法来配置哪些请求需要进行授权，以及授权的方式和条件。配置请求的授权策略，如哪些请求需要进行身份认证、哪些请求需要授权等。
SpringSecurity学习笔记之四：拦截请求
热门推荐
zhoucheng05_13的博客
03-05 5万+
在任何应用中，并不是所有请求都需要同等程度地保护起来。有些请求需要认证，有些则不需要。 对每个请求进行细粒度安全性控制的关键在于重载configure(HttpSecurity)方法。如下代码片段展现了重载的configure(HttpSecurity)方法，它为不同的URL路径有选择地应用安全性：@Override protected void configure(HttpSecurity ht
学习springSecurit第二节-httpSecurity
江城宴的博客
08-09 645
前一节，我们已经了解了springSecurity的主体结构 ，这一节我们将分析HttpSecurity 是如何创建SecurityFilterChain的。 HttpSecurity： HttpSecurity是用来创建SecurityFilterChain，这里要注意与WebSecurity区分，WebSecurity是用来创建Filter的。 SecurityFilterChain： public interface SecurityFilterChain { boolean mat
SpringBoot3-Security 源码六：HttpSecurity
qq_45090949的博客
11-29 303
【代码】SpringBoot3-Security 源码六：HttpSecurity。
【Spring Security】—— HttpSecurity
qq_33471737的博客
06-29 850
官网地址 Spring Security Reference 版本：Version 5.5.0 HttpSecurity 的继承关系图 在前面了解过 WebSecurity、HttpSecurity、AuthenticationManagerBuilder 这三个重要构建者公共的部分： |- SecurityBuilder |- AbstractSecurityBuilder |- AbstractConfiguredSecurityBuilder 公共的这部分对构建者做扩展，点击这里可以回
springsecurity拦截器
最新发布
05-22
### Spring Security 拦截器配置与使用 Spring Security 提供了一种灵活的方式来定义拦截器，这些拦截器可以通过 `WebSecurityConfigurerAdapter` 或者新的方式（自 Java 配置类以来推荐的方式）来实现。以下是关于如何配置和使用 Spring Security 中的拦截器功能的具体说明。 #### 1. 添加依赖项 为了启用 Spring Security 的功能，需要在项目中引入相应的 Maven 或 Gradle 依赖项： ```xml <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </version>5.7.1</version> </dependency> ``` 此依赖会自动集成到 Spring Boot 应用程序中，并激活默认的安全设置[^2]。 --- #### 2. 创建安全配置类 创建一个继承自 `WebSecurityConfigurerAdapter` 的类或者直接使用基于 Java 的配置方法来自定义拦截规则。以下是一个典型的例子： ```java import org.springframework.context.annotation.Bean; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.core.userdetails.User; import org.springframework.security.core.userdetails.UserDetails; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.provisioning.InMemoryUserDetailsManager; import org.springframework.security.web.SecurityFilterChain; @EnableWebSecurity public class SecurityConfig { @Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/public/**").permitAll() // 放行公共资源 .antMatchers("/admin/**").hasRole("ADMIN") // 只允许 ADMIN 用户访问 .anyRequest().authenticated() // 所有其他请求都需要身份验证 .and() .formLogin() .loginPage("/login") // 自定义登录页面 .defaultSuccessUrl("/") // 登录成功后的跳转地址 .permitAll(); // 允许所有人访问登录页 return http.build(); } @Bean public UserDetailsService userDetailsService() { UserDetails user = User.withDefaultPasswordEncoder() .username("user") .password("password") .roles("USER") .build(); UserDetails admin = User.withDefaultPasswordEncoder() .username("admin") .password("adminpass") .roles("ADMIN", "USER") .build(); return new InMemoryUserDetailsManager(user, admin); } } ``` 在此示例中： - `/public/**` 路径被放行，不需要任何权限即可访问。 - `/admin/**` 路径仅限具有 `ROLE_ADMIN` 权限的用户访问。 - 其他路径则需要经过身份验证才能访问[^3]。 --- #### 3. 处理 AJAX 请求的特殊需求 当处理 AJAX 请求时，默认情况下 Spring Security 会在未认证的情况下返回重定向响应 (`HTTP 302`) 到登录页面。这可能不适合 API 场景下的 JSON 响应。因此，可以修改配置以支持更友好的错误消息： ```java http.exceptionHandling() .authenticationEntryPoint((request, response, authException) -> { response.setContentType("application/json"); response.setStatus(HttpStatus.UNAUTHORIZED.value()); response.getWriter().write("{\"error\":\"Unauthorized\"}"); }); ``` 这样，在未经授权尝试访问受保护资源时，客户端将收到带有适当状态码和 JSON 错误消息的响应[^1]。 --- #### 4. 定制过滤器链 如果需要进一步扩展安全性逻辑，比如添加日志记录或其他预/后处理操作，则可通过注册自定义过滤器完成： ```java @Bean public SecurityFilterChain customFilterChain(HttpSecurity http) throws Exception { http.addFilterBefore(new CustomAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class); return http.build(); } // 示例：自定义过滤器 public static class CustomAuthenticationFilter extends OncePerRequestFilter { @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException { System.out.println("Custom Authentication Filter executed!"); // 进一步业务逻辑... chain.doFilter(request, response); // 继续执行后续过滤器 } } ``` 以上代码展示了如何向现有的过滤器链条之前插入一个新的定制化组件[^3]。 --- #### 总结 通过上述步骤，您可以有效地利用 Spring Security 实现细粒度的 URL 访问控制以及针对不同场景优化的行为调整。无论是传统的表单提交还是现代化 RESTful Web Services 开发模式下都能找到适合自己的解决方案。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值