SpringBoot框架学习(十二)——安全认证

最新推荐文章于 2024-02-01 11:48:27 发布

原创最新推荐文章于 2024-02-01 11:48:27 发布 · 676 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#spring security

javaWeb 专栏收录该内容

34 篇文章

订阅专栏

文章目录

十六、Spring Security

十六、Spring Security

1.概论

Spring Security是针对Spring项目的安全框架，也是Spring Boot底层安全模块默认的技术选型。他可以实现强大的web安全控制。对于安全控制，我们仅需引入spring-boot-starter-security模块，进行少量的配置，即可实现强大的安全管理。几个类：
WebSecurityConfigurerAdapter：自定义Security策略
AuthenticationManagerBuilder：自定义认证策略
@EnableWebSecurity：开启WebSecurity模式
应用程序的两个主要区域是“认证”和“授权”（或者访问控制）。这两个主要区域是Spring Security 的两个目标。
“认证”（Authentication），是建立一个他声明的主体的过程（一个“主体”一般是指用户，设备或一些可以在你的应用程序中执行动作的其他系统）。
“授权”（Authorization）指确定一个主体是否允许在你的应用程序执行一个动作的过程。为了抵达需要授权的店，主体的身份已经有认证过程建立。
这个概念是通用的而不只在Spring Security中。

2.搭建环境

在这里插入图片描述
然后导入我们的页面，登录页面，菜单页面和每一个菜单所相应了一个页面，并且书写控制页面跳转的控制层的方法类

package springboot.security.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PathVariable;

@Controller
public class KungfuController {
	private final String PREFIX = "pages/";
	/**
	 * 欢迎页
	 * @return
	 */
	@GetMapping("/")
	public String index() {
		return "welcome";
	}
	
	/**
	 * 登陆页
	 * @return
	 */
	@GetMapping("/userlogin")
	public String loginPage() {
		return PREFIX+"login";
	}
	
	
	/**
	 * level1页面映射
	 * @param path
	 * @return
	 */
	@GetMapping("/level1/{path}")
	public String level1(@PathVariable("path")String path) {
		return PREFIX+"level1/"+path;
	}
	
	/**
	 * level2页面映射
	 * @param path
	 * @return
	 */
	@GetMapping("/level2/{path}")
	public String level2(@PathVariable("path")String path) {
		return PREFIX+"level2/"+path;
	}
	
	/**
	 * level3页面映射
	 * @param path
	 * @return
	 */
	@GetMapping("/level3/{path}")
	public String level3(@PathVariable("path")String path) {
		return PREFIX+"level3/"+path;
	}


}

然后运行测试，发现
在这里插入图片描述
这是因为Thymeleaf版本太低，所以我们手动提升一下版本

<properties>
        <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
        <project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding>
        <thymeleaf.version>3.0.9.RELEASE</thymeleaf.version>
        <thymeleaf-layout-dialect.version>2.3.0</thymeleaf-layout-dialect.version>
        <java.version>1.8</java.version>
    </properties>

3.添加认证和授权功能

我们已经能实现一个任何人都可以访问的网站了，下面就要添加认证和授权功能了。

<1>引入SpringSecurity模块

	<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

<2>授权访问

@EnableWebSecurity
public class MySecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
//        定制请求的授权规则
        http.authorizeRequests().antMatchers("/").permitAll()
                .antMatchers("/level1/**").hasRole("VIP1")
                .antMatchers("/level2/**").hasRole("VIP2")
                .antMatchers("/level3/**").hasRole("VIP3");
    }
}

实现的功能就是，只有角色VIP1 2 3登录后才能方位对应的模块，而我们直接到登录界面的话，点进三个模块会这样：
在这里插入图片描述
显示拒绝访问，说明我们的授权生效了。

现在我们要开启自动配置的登录功能，让用户无法直接到达登录之后的界面，如果直接按照域名访问到了的话，就会被重定向到login界面

http.formLogin();

<3>认证访问

然后我们定义一下我们的认证功能，让不同的人有不同的权限去访问不同的界面

 @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("zhangsan").password("123456").roles("VIP1","VIP2")
                .and()
                .withUser("zhaosi").password("123456").roles("VIP2","VIP3")
                .and()
                .withUser("wangwu").password("123456").roles("VIP1","VIP3");
    }

然后来到页面，发现只有带有权限的用户，才能访问指定的界面，不然就是403拒绝访问。
下面我们来写一下注销功能，方便切换用户。

<4>注销用户

首先我们来开启自动配置的注销功能，让我们能够成功的注销用户。

http.logout()

然后简单的添加一个注销按键，由于我们的logout方法默认的链接的/logout所以我们也使用/logout这样就可以成功实现了。
注销成功之后自动重定向到/login

<form th:action="@{/logout}" method="post">
    <input th:type="submit" th:value="注销" />
</form>

在这里插入图片描述
成功实现。
现在我们还想实现注销之后返回到的界面，只需要增加一个方法。

http.logout().logoutSuccessUrl("/");//注销成功来到首页

然后我们来根据用户拥有的不同权限，和登录状态来进行页面的优化。

<5>优化

1.导入环境

首先先导入对应的maven环境

<dependency>
            <groupId>org.thymeleaf.extras</groupId>
            <artifactId>thymeleaf-extras-springsecurity4</artifactId>
        </dependency>

和对应的版本在上面的properties标签内

    <thymeleaf-extras-springsecurity4.version>3.0.2.RELEASE</thymeleaf-extras-springsecurity4.version>

2.登录页面优化

我们需要在登录之后的页面显示注销，如果匿名登录则不显示，并且在登录后可以显示用户信息和权限。

 <h1 align="center">欢迎光临武林秘籍管理系统</h1>
<!--判断是否认证了-->
<div sec:authorize="!isAuthenticated()">
    <h2 align="center">游客您好，如果想查看武林秘籍 <a th:href="@{/login}">请登录</a></h2>
</div>
<div sec:authorize="isAuthenticated()">
    <h2><span sec:authentication="name"></span>,您好，您的角色有：
        <span sec:authentication="principal.authorities"></span></h2>
    <form th:action="@{/logout}" method="post">
        <input th:type="submit" th:value="注销" />
    </form>
</div>

运行之后我们发现
在这里插入图片描述
登录后显示用户信息
未登录，则不会弹出注销按钮，并且提示用户进行登录

3.指定用户只显示它专属能浏览的菜单

我们可以使用hasRole方法，进行判断登录的用户是否拥有对应的权限去浏览对应菜单。

<div sec:authorize="hasRole('VIP1')">
    <h3>普通武功秘籍</h3>
    <ul>
        <li><a th:href="@{/level1/1}">罗汉拳</a></li>
        <li><a th:href="@{/level1/2}">武当长拳</a></li>
        <li><a th:href="@{/level1/3}">全真剑法</a></li>
    </ul>
</div>

<div sec:authorize="hasRole('VIP2')">
    <h3>高级武功秘籍</h3>
    <ul>
        <li><a th:href="@{/level2/1}">太极拳</a></li>
        <li><a th:href="@{/level2/2}">七伤拳</a></li>
        <li><a th:href="@{/level2/3}">梯云纵</a></li>
    </ul>
</div>

<div sec:authorize="hasRole('VIP3')">
    <h3>绝世武功秘籍</h3>
    <ul>
        <li><a th:href="@{/level3/1}">葵花宝典</a></li>
        <li><a th:href="@{/level3/2}">龟派气功</a></li>
        <li><a th:href="@{/level3/3}">独孤九剑</a></li>
    </ul>
</div>

4.开启‘记住我’功能

http.rememberMe();//开启记住我功能

至于检验的话，我们可以关闭浏览器然后将域名发送到postman。
登录成功之后，将cookie发给浏览器保存，以后访问页面带上这个cookie，只要通过检查就可以免登陆，然后点击注销就会删除cookie