4. Spring Security 认证简介

最新推荐文章于 2023-07-27 16:56:07 发布
翻译 最新推荐文章于 2023-07-27 16:56:07 发布 · 1.4k 阅读 · 2

本文详细解析了Spring Security的认证过程，包括登录验证、权限判断及请求间SecurityContext共享机制，同时介绍了ExceptionTranslationFilter在处理认证异常时的作用。

认证简介

目录

1.1     认证过程

1.2     Web应用的认证过程

1.2.1    ExceptionTranslationFilter

1.2.2    在request之间共享SecurityContext

 

1.1     认证过程

       1、用户使用用户名和密码进行登录。

       2、Spring Security将获取到的用户名和密码封装成一个实现了Authentication接口的UsernamePasswordAuthenticationToken。

       3、将上述产生的token对象传递给AuthenticationManager进行登录认证。

       4、AuthenticationManager认证成功后将会返回一个封装了用户权限等信息的Authentication对象。

       5、通过调用SecurityContextHolder.getContext().setAuthentication(...)将AuthenticationManager返回的Authentication对象赋予给当前的SecurityContext。

 

       上述介绍的就是Spring Security的认证过程。在认证成功后，用户就可以继续操作去访问其它受保护的资源了，但是在访问的时候将会使用保存在SecurityContext中的Authentication对象进行相关的权限鉴定。

 

1.2     Web应用的认证过程

       如果用户直接访问登录页面，那么认证过程跟上节描述的基本一致，只是在认证完成后将跳转到指定的成功页面，默认是应用的根路径。如果用户直接访问一个受保护的资源，那么认证过程将如下：

       1、引导用户进行登录，通常是重定向到一个基于form表单进行登录的页面，具体视配置而定。

       2、用户输入用户名和密码后请求认证，后台还是会像上节描述的那样获取用户名和密码封装成一个UsernamePasswordAuthenticationToken对象，然后把它传递给AuthenticationManager进行认证。

       3、如果认证失败将继续执行步骤1，如果认证成功则会保存返回的Authentication到SecurityContext，然后默认会将用户重定向到之前访问的页面。

       4、用户登录认证成功后再次访问之前受保护的资源时就会对用户进行权限鉴定，如不存在对应的访问权限，则会返回403错误码。

 

       在上述步骤中将有很多不同的类参与，但其中主要的参与者是ExceptionTranslationFilter。

 

1.2.1   ExceptionTranslationFilter

       ExceptionTranslationFilter是用来处理来自AbstractSecurityInterceptor抛出的AuthenticationException和AccessDeniedException的。AbstractSecurityInterceptor是Spring Security用于拦截请求进行权限鉴定的，其拥有两个具体的子类，拦截方法调用的MethodSecurityInterceptor和拦截URL请求的FilterSecurityInterceptor。当ExceptionTranslationFilter捕获到的是AuthenticationException时将调用AuthenticationEntryPoint引导用户进行登录；如果捕获的是AccessDeniedException，但是用户还没有通过认证，则调用AuthenticationEntryPoint引导用户进行登录认证，否则将返回一个表示不存在对应权限的403错误码。

 

1.2.2  在request之间共享SecurityContext

       可能你早就有这么一个疑问了，既然SecurityContext是存放在ThreadLocal中的，而且在每次权限鉴定的时候都是从ThreadLocal中获取SecurityContext中对应的Authentication所拥有的权限，并且不同的request是不同的线程，为什么每次都可以从ThreadLocal中获取到当前用户对应的SecurityContext呢？在Web应用中这是通过SecurityContextPersistentFilter实现的，默认情况下其会在每次请求开始的时候从session中获取SecurityContext，然后把它设置给SecurityContextHolder，在请求结束后又会将SecurityContextHolder所持有的SecurityContext保存在session中，并且清除SecurityContextHolder所持有的SecurityContext。这样当我们第一次访问系统的时候，SecurityContextHolder所持有的SecurityContext肯定是空的，待我们登录成功后，SecurityContextHolder所持有的SecurityContext就不是空的了，且包含有认证成功的Authentication对象，待请求结束后我们就会将SecurityContext存在session中，等到下次请求的时候就可以从session中获取到该SecurityContext并把它赋予给SecurityContextHolder了，由于SecurityContextHolder已经持有认证过的Authentication对象了，所以下次访问的时候也就不再需要进行登录认证了。

Spring Security 6.x 系列（1）—— 初识Spring Security
gmHappy
10-05 2万+
`Spring Security`作为一个功能完善的安全框架，具有以下特性： - **认证（Authentication）**：解决 "你是谁" 的问题，验证系统中是否有这个“用户”(用户/设备/系统)，也就是我们常说的“登录”。 - **授权（Authorization）**：权限控制/鉴别，解决的是系统中某个用户能够访问哪些资源，即“你能干什么”的问题。`Spring Security` 支持基于 `URL` 的请求授权、方法访问授权、对象访问授权。
Spring Security源码分析一：Spring Security认证过程
weixin_34138377的博客
01-03 311
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了...
SpringSecurity认证流程
msq16021的博客
08-03 5939
SpringSecurity认证流程
Spring Security 源码分析一：Spring Security 认证过程
weixin_42073629的博客
05-15 322
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。 1. 类图 为了方便理解Spring Security认证流程.
【spring security】认证过程详解
欢迎来到【战羽】的博客
11-15 1454
spring security 主要有两大功能，即认证和授权 1、security是如何认证账号的： 验证逻辑实现是在类AbstractUserDetailsAuthenticationProvider，此类实现了接口AuthenticationProvider的接口方法 Authentication authenticate(Authentication authentication) thr...
SpringBoot集成Spring security 2024.10(Spring Security 6.3.3)
10-22
在Spring Security中，认证通常是通过实现UserDetailsService接口来完成的，授权则通过配置WebSecurityConfigurerAdapter来实现。 此外，Spring Security还提供了与方法级别的安全控制，这允许开发者在方法上应用...
精选资源
Spring Cloud Gateway 整合 Spring Security 统一登录认证鉴权
02-24
在压缩包文件`spring_gateway_security_webflux`中，可能包含了示例代码或配置文件，用于演示如何在Spring Cloud Gateway中集成Spring Security，实现统一登录认证鉴权。这些资源可以帮助开发者更快地理解和实践上述...
Spring security认证授权
11-30
在这个例子中，我们将深入探讨如何使用Spring Security进行认证和授权，并结合数据库操作进行动态配置。 首先，Spring Security的核心概念包括认证（Authentication）和授权（Authorization）。认证是确认用户身份...
springSecurity 安全验证
Fupengyao的博客
03-12 618
换公司了，框架也换了，安全登录等验证用的springSecurity http://www.cnblogs.com/hzhuxin/archive/2011/12/14/2287363.html http://www.wxtip.cn/index.php?title=%E9%A6%96%E9%A1%B5
SpringSecurity认证流程(超级详细)
qq_34091529的博客
06-27 1万+
最近开发项目的时候遇到了和SpringSecurity相关的一些问题，但是之前并没有去了解过SpringSecurity，导致改系统安全权限验证的时候就比较吃力了，目前项目开发大多都直接用脚手架直接开发，系统安全权限验证已经形成了，所以并不是自己写的，自己理解起来会更慢一些，所以这篇文章就是为了分析SpringSecurity的认证流程而写的。
SpringSecurity登录认证流程
fcclzydouble的博客
08-27 140
Spring-Security登录认证授权原理
热门推荐
abcwanglinyong的博客
07-10 4万+
spring-security源码下载地址：https://github.com/spring-projects/spring-security Spring-Security源码解读：1.使用ctrl+shift+n组合键查找UsernamePasswordAuthenticationFilter过滤器，该过滤器是用来处理用户认证逻辑的，进入后如图：(1)可以看到它默认的登录请求url是"/lo...
SpringSecurity认证流程详解和代码实现
qq_44749491的博客
06-29 1万+
/ 封装该用户拥有的权限信息，这里还只是讲认证，所以直接返回null跳过 @Override public Collection
Spring Security的认证流程 附实例展示
weixin_47847063的博客
03-07 772
简单来说Spring Security的验证流程如下：如果密码不正确，则返回错误消息并重新显示登录表单。更具体地说，Spring Security的验证流程如下：这个过程可以通过配置文件进行自定义，例如更改认证方式、添加额外的过滤器等等。以下是一个简单的Spring Security认证流程示例，包括了UserDetailsService和PasswordEncoder的实现： 在该示例中，Spring Security的认证流程如下：在上述示例中，MyUserDetailsService实现了UserDe
SpringSecurity认证授权具体流程步骤（具体实例）
Derrick_itRose的博客
07-27 521
创建出五个表，五个表之间的关系为：sys_user：登录表，用于登陆后查询idsys_user_role：用于根据用用户的id来查询到role_ idsys_role_function：用于通过role_id来查询对应的fun_idsys_function：用于通过fun_id来查询对应的方法，以及fun_code方法权限。
SpringSecurity认证流程分析
张氏小毛驴的博客
08-11 1774
​ SpringSecurity的认证，其实就是我们的登录验证。​ Web系统中登录验证的核心就是凭证，比较多使用的是Session和JWT,其原理都是在用户成功登录后返回给用户一个凭证，后续用户访问时需要携带凭证来辨别自己的身份。后端会根据这个凭证进行安全判断，如果凭证没问题则代表已登录，否则则直接拒绝请求。​ 以下内容会先分析源码理清楚认证的流程。...
SpringSecurity（四）【自定义认证流程详解】
Vinjcent
10-25 1494
– 在项目中，如果要覆盖默认权限、授权自动配置，需要让 DefaultWebSecurityCondition 这个类失效– 添加如下配置可以实现自定义对资源权限规则设置 4.2 自定义登录界面 根据前面分析可知，校验用户名密码是根据 UsernamePasswordAuthenticationFilter 这个过滤器执行的，要求 定义一个跳转到login.html页面的controller 在 templates 中定义登陆界面 【注意】当前login.html页面的文本输入框name参数以
1.Spring Security引入 （1）环境搭建 （2）开启安全效果测试 2.Spring Security安全配置 3.内存用户认证 4.自定义用户授权
最新发布
09-30
### Spring Security引入方法 在Spring Boot项目中引入Spring Security，可在`pom.xml`文件中添加如下依赖： ```xml <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> ``` ### 环境搭建步骤 以在Spring Boot项目中结合Spring MVC和Thymeleaf实现访问图书管理后台页面为例进行环境搭建： 1. 创建Spring Boot项目。可使用Spring Initializr（https://start.spring.io/ ）快速创建一个包含Spring Web、Spring Security、Thymeleaf等依赖的项目 [^4]。 2. 配置项目，在`application.properties`或`application.yml`中进行相关配置。 ### 开启安全效果测试方法 在完成环境搭建和配置后，启动Spring Boot应用程序。尝试访问应用的接口或页面，若出现登录页面，则表明Spring Security已生效。例如，在浏览器中访问`http://localhost:8080`，会自动跳转到Spring Security提供的默认登录页面。 ### 安全配置方法 可通过创建一个配置类继承`WebSecurityConfigurerAdapter`来进行安全配置。示例代码如下： ```java import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder; import org.springframework.security.crypto.password.PasswordEncoder; @Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/public/**").permitAll() // 允许公共访问的路径 .anyRequest().authenticated() // 其他请求需要认证 .and() .formLogin() .loginPage("/login") // 自定义登录页面 .permitAll() .and() .logout() .permitAll(); } } ``` ### 内存用户认证方法 在安全配置类中可以配置内存用户，示例如下： ```java import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder; import org.springframework.security.crypto.password.PasswordEncoder; @Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth .inMemoryAuthentication() .withUser("user") .password(passwordEncoder().encode("password")) .roles("USER") .and() .withUser("admin") .password(passwordEncoder().encode("admin")) .roles("ADMIN"); } @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/public/**").permitAll() .anyRequest().authenticated() .and() .formLogin() .loginPage("/login") .permitAll() .and() .logout() .permitAll(); } } ``` ### 自定义用户授权方法 可通过实现`UserDetailsService`接口来自定义用户授权。示例代码如下： ```java import org.springframework.security.core.GrantedAuthority; import org.springframework.security.core.authority.SimpleGrantedAuthority; import org.springframework.security.core.userdetails.User; import org.springframework.security.core.userdetails.UserDetails; import org.springframework.security.core.userdetails.UserDetailsService; import org.springframework.security.core.userdetails.UsernameNotFoundException; import org.springframework.stereotype.Service; import java.util.ArrayList; import java.util.List; @Service public class CustomUserDetailsService implements UserDetailsService { @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { // 这里可以从数据库或其他数据源获取用户信息 if ("user".equals(username)) { List<GrantedAuthority> authorities = new ArrayList<>(); authorities.add(new SimpleGrantedAuthority("ROLE_USER")); return new User("user", "$2a$10$4XWjW2W777y8g7j8y2782G782g782G782g782G782g782G782g", authorities); } else if ("admin".equals(username)) { List<GrantedAuthority> authorities = new ArrayList<>(); authorities.add(new SimpleGrantedAuthority("ROLE_ADMIN")); return new User("admin", "$2a$10$4XWjW2W777y8g7j8y2782G782g782G782g782G782g782G782g", authorities); } throw new UsernameNotFoundException("User not found"); } } ``` 然后在安全配置类中使用自定义的`UserDetailsService`： ```java import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder; import org.springframework.security.crypto.password.PasswordEncoder; @Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } private final CustomUserDetailsService customUserDetailsService; public SecurityConfig(CustomUserDetailsService customUserDetailsService) { this.customUserDetailsService = customUserDetailsService; } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth .userDetailsService(customUserDetailsService) .passwordEncoder(passwordEncoder()); } @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/public/**").permitAll() .anyRequest().authenticated() .and() .formLogin() .loginPage("/login") .permitAll() .and() .logout() .permitAll(); } } ```
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值