Spring Security 支持的多种身份验证方式_spring security 多种认证-优快云博客

本文链接：https://blog.youkuaiyun.com/qq_42690281/article/details/144508832

一、基于表单的认证（Form-based Authentication）

1.原理

这是最常见的一种认证方式，用户通过浏览器访问一个受保护的资源时，会被重定向到一个登录页面。用户在登录页面输入用户名和密码，然后提交表单。Spring Security 会拦截这个表单提交请求，获取用户名和密码，将其封装成一个Authentication对象，传递给AuthenticationManager进行验证。

2.配置示例

在 Spring Security 的配置类（通常继承自WebSecurityConfigurerAdapter）中，可以通过以下方式配置基于表单的认证。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   
    @Override
    protected void configure(HttpSecurity http) throws Exception {
   
        http
           .authorizeRequests()
               .antMatchers("/admin/**").hasRole("ADMIN")
               .antMatchers("/user/**").hasRole("USER")
               .anyRequest().authenticated()
           .and()
           .formLogin()
               .loginPage("/login")
               .permitAll()
               .defaultSuccessUrl("/home")
               .failureUrl("/login?error");
    }
}

在上述代码中，formLogin()方法用于配置基于表单的认证。loginPage("/login")指定了自定义的登录页面路径为/login，permitAll()表示这个登录页面可以被所有用户访问，defaultSuccessUrl("/home")表示登录成功后默认跳转到/home页面，failureUrl("/login?error")表示登录失败后跳转到/login页面并添加一个error参数。

二、HTTP基本认证（HTTP Basic Authentication）

1. 原理

这种认证方式是基于HTTP协议规范的。当客户端（如浏览器或其他HTTP客户端）请求一个受保护的资源时，服务器会返回一个401 Unauthorized响应，并在WWW - Authenticate头信息中指定Basic认证方式。客户端收到这个响应后，会弹出一个用户名和密码输入框（浏览器的行为），用户输入用户名和密码后，客户端会将用户名和密码进行简单的Base64编码，并添加到Authorization头信息中，格式为Basic base64(username:password)，然后重新发送请求。Spring Security会拦截这个请求，解码并验证用户名和密码。

2.配置示例

可以在Spring Security配置中通过以下方式启用HTTP基本认证。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   
    @Override
    protected void configure(HttpSecurity http) throws Exception {
   
        http
           .authorizeRequests()
               .anyRequest().authenticated()
           .and()
           .httpBasic();
    }
}

上述代码中的httpBasic()方法启用了 HTTP 基本认证。所有请求都需要进行认证，当未认证的请求到达时，会触发 HTTP 基本认证流程。

三、HTTP 摘要认证（HTTP Digest Authentication）

1.原理

HTTP 摘要认证比 HTTP 基本认证更安全。它同样是在客户端和服务器之间进行交互，但不是简单地发送 Base64 编码的用户名和密码，而是发送一个消息摘要。这个消息摘要是通过用户名、密码、请求的 URI、随机数（服务器生成的nonce）等信息经过 MD5 或其他哈希算法计算得出的。服务器收到请求后，会使用存储的用户密码和相同的算法重新计算消息摘要，然后与客户端发送的消息摘要进行比较，从而验证用户身份。

2.配置示例

要启用 HTTP 摘要认证，可以在 Spring Security 配置中添加以下代码。不过需要注意的是，在实际应用中，HTTP 摘要认证的使用相对较少，因为它也存在一些安全漏洞，并且在一些复杂场景下可能不太方便。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
   
    @Override
    protected void configure(HttpSecurity http) throws Exception {
   
        http
           .authorizeRequests()
               .anyRequest().authenticated()
           .and()
           .httpDigest();
    }
}

四、基于证书的认证（Certificate-based Authentication

1.原理

这种认证方式依赖于数字证书。客户端和服务器都需要有数字证书。客户端在请求服务器时，会将自己的证书发送给服务器。服务器会验证客户端证书的有效性，包括证书是否由信任的证书颁发机构（CA）颁发、证书是否过期等。同时，服务器也可以使用自己的证书向客户端证明自己的身份（双向认证）。在Spring Security中，它可以通过配置SSL（Secure Sockets Layer）或TLS（Transport Layer Security）来实现基于证书的认证。