spring boot sse 心跳 spring boot sec

转载

漫步云端的猪 2023-11-07 11:19:31

文章标签 spring boot sse 心跳 spring boot security spring ico 文章分类 spring boot 后端开发

文章目录

Spring Boot——集成Spring Security

1、什么是Spring Security
2、实验环境搭建
3、用户认证和授权
4、注销功能
5、权限控制功能
6、记住我及登录页定制
7、总结

Spring Boot——集成Spring Security

1、什么是Spring Security

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。

spring Security是一个专注于为Java应用程序、功能强大且高度可定制的身份验证和访问控制框架。它实际上是保护基于spring的应用程序的标准。

它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI和AOP功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

Spring Security官网

2、实验环境搭建

1.新建一个springboot项目，导入web和thymeleaf的依赖

<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.thymeleaf</groupId>
            <artifactId>thymeleaf-spring5</artifactId>
        </dependency>
        <dependency>
            <groupId>org.thymeleaf.extras</groupId>
            <artifactId>thymeleaf-extras-java8time</artifactId>
        </dependency>

关闭thymeleaf的自动缓存

spring.thymeleaf.cache=false

2.导入静态资源

spring boot sse 心跳 spring boot sec_spring

3.编写controller跳转页面测试实验环境

package com.cheng.conrtoller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.PathVariable;
import org.springframework.web.bind.annotation.RequestMapping;

@Controller
public class RouterController {

    @RequestMapping({"/","index","index.html"})//这三个请求都能进首页
    public String toindex(){
        return "index";
    }

    @RequestMapping("/toLogin")
    public String tologin(){
        return "views/login";
    }

    @RequestMapping("/level1/{id}")
    public String tolevel1(@PathVariable("id") int id){
        return "views/level1/"+id;
    }

    @RequestMapping("/level2/{id}")
    public String tolevel2(@PathVariable("id") int id){
        return "views/level2/"+id;
    }

    @RequestMapping("/level3/{id}")
    public String tolevel3(@PathVariable("id") int id){
        return "views/level3/"+id;
    }
}

成功跳转，实验环境OK！

3、用户认证和授权

导入spring-boot-starter-security 模块和依赖

<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
           <groupId>org.thymeleaf.extras</groupId>
           <artifactId>thymeleaf-extras-springsecurity5</artifactId>
           <version>3.0.4.RELEASE</version>
        </dependency>

认证和授权

Spring Security的两个主要目标是 “认证” 和 “授权”（访问控制）。

“认证”（Authentication）

身份验证是关于验证您的凭据，如用户名/用户ID和密码，以验证您的身份。

身份验证通常通过用户名和密码完成，有时与身份验证因素结合使用。

“授权” （Authorization）

授权发生在系统成功验证您的身份后，最终会授予您访问资源（如信息，文件，数据库，资金，位置，几乎任何内容）的完全权限。

这个概念是通用的，而不是只在Spring Security 中存在。

编写配置类实现认证和授权功能

package com.cheng.config;

import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;


//配置类横切实现，不会影响原有的代码
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //授权的规则
        http.authorizeRequests().antMatchers("/").permitAll()//首页所有人都可以访问
        //vip页面只有对应权限的角色才可以访问
        .antMatchers("/level1/**").hasRole("vip1")
        .antMatchers("/level2/**").hasRole("vip2")
        .antMatchers("/level3/**").hasRole("vip3");

        //没有权限访问的情况下会跳转到默认的登录页面
        http.formLogin();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //认证的规则
        //在内存中验证,正常情况下应该在数据库中验证jdbcAuthentication()
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())//用密码编码器给密码加密
                .withUser("cheng").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1","vip2")
                .and()//用and拼接用户，这些用户都是伪造的
                .withUser("root").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1","vip2","vip3")
                .and()
                .withUser("guest").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1");

    }
}

启动程序测试：

1.先访问首页，所有人都可以访问

spring boot sse 心跳 spring boot sec_security_02

2.访问vip页面，以访问vip2为例，因为我们没有权限，所以会跳转到默认的用户登录页面

spring boot sse 心跳 spring boot sec_spring_03

3.这时，我们再登录认证，登录成功后用户就有对应的权限了，登录用户cheng，角色是vip1和vip2

spring boot sse 心跳 spring boot sec_security_04

因此访问vip1和vip2的功能页面可以成功，但访问vip3的功能页面会失败。

注：要给用户密码编码，否则在登录时会报错，无法登录！

4.测试完成，用户认证和授权成功！

4、注销功能

开启用户注销功能

http.logout();

点进去源码，看除了注销还有什么功能？

spring boot sse 心跳 spring boot sec_spring boot sse 心跳_05

通过翻译源码可知，通过访问/logout请求注销登录，还可以移除cookie、使session无效，并且自定义注销页面，下面我们来测试一下：

<!--注销-->
                <a class="item" th:href="@{/logout}">
                    <i class="sign-out icon"></i> 注销
                </a>

//开启注销功能,并返回首页
http.logout().logoutSuccessUrl("/");

测试：启动程序，先登录一个用户，访问一个在用户权限的页面，然后点击注销，成功返回首页！

5、权限控制功能

我们上面的首页展示有一个问题，就是用户登录后的首页是所有权限的功能，没有根据用户的权限来向用户展示功能，比如cheng用户，权限是vip1，2，cheng登录后我们应该只显示vip1和2的功能，不该把vip3的功能也展示出来；相同的guest用户的权限是vip1，我们就只要给他展示vip1的功能即可。下面就来实现这个权限控制功能。

结合Thymeleaf来完成这个功能：

<dependency>
    <groupId>org.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-springsecurity5</artifactId>
    <version>3.0.4.RELEASE</version>
</dependency>

显示注销和登录按钮，并且在登录后显示用户名和角色名

<!--登录注销-->
<div class="right menu">
    <!--未登录,不显示首页  !isAuthenticated()用户未登录-->
    <div sec:authorize="!isAuthenticated()">
        <a class="item" th:href="@{/toLogin}">
            <i class="address card icon"></i> 登录
        </a>
    </div>
    
    <!--如果登录，显示注销按钮和用户名-->
    <div sec:authorize="isAuthenticated()">
        <a class="item">
            用户名：<span sec:authentication="principal.username"></span>
            角色：<span sec:authentication="principal.authorities"></span>
        </a>
    </div>
    <div sec:authorize="isAuthenticated()">
    <a class="item" th:href="@{/logout}">
        <i class="sign-out icon"></i> 注销
    </a>
    </div>
</div>

启动程序，测试：

首先是未登录的情况，只显示登录，不显示注销

spring boot sse 心跳 spring boot sec_security_06

访问login请求登录（这是springboot自带的登录页面），登录后显示用户名，角色名和注销按钮

spring boot sse 心跳 spring boot sec_spring_07

根据角色权限显示界面

sec:authorize="hasRole('vip1')">

sec:authorize="hasRole('vip2')">

sec:authorize="hasRole('vip3')">

<div class="ui three column stackable grid">
    <div class="column">
        <div class="ui raised segment">
            <div class="ui">

                <div class="content" sec:authorize="hasRole('vip1')"><!--如果有vip1的权限就显示下面界面-->
                    <h5 class="content">VIP1的功能</h5>
                    <hr>
                    <div><a th:href="@{/level1/1}"><i class="bullhorn icon"></i> 登录</a></div>
                    <div><a th:href="@{/level1/2}"><i class="bullhorn icon"></i> 浏览</a></div>
                    <div><a th:href="@{/level1/3}"><i class="bullhorn icon"></i> 访问</a></div>
                </div>
            </div>
        </div>
    </div>

    <div class="column">
        <div class="ui raised segment">
            <div class="ui">
                <div class="content" sec:authorize="hasRole('vip2')">
                    <h5 class="content">VIP2的功能</h5>
                    <hr>
                    <div><a th:href="@{/level2/1}"><i class="bullhorn icon"></i> 复制</a></div>
                    <div><a th:href="@{/level2/2}"><i class="bullhorn icon"></i> 粘贴</a></div>
                    <div><a th:href="@{/level2/3}"><i class="bullhorn icon"></i> 交流</a></div>
                </div>
            </div>
        </div>
    </div>

    <div class="column">
        <div class="ui raised segment">
            <div class="ui">
                <div class="content" sec:authorize="hasRole('vip3')">
                    <h5 class="content">VIP3的功能</h5>
                    <hr>
                    <div><a th:href="@{/level3/1}"><i class="bullhorn icon"></i> 下载</a></div>
                    <div><a th:href="@{/level3/2}"><i class="bullhorn icon"></i> 上传</a></div>
                    <div><a th:href="@{/level3/3}"><i class="bullhorn icon"></i> 修改</a></div>
                </div>
            </div>
        </div>
    </div>
</div>

启动测试，先是未登录的情况：

spring boot sse 心跳 spring boot sec_spring boot_08

然后登录cheng用户：

spring boot sse 心跳 spring boot sec_security_09

可以看出，cheng用户的角色是vip1和vip2，因此只显示了vip1和vip2的界面。测试成功！

6、记住我及登录页定制

开启记住我功能

//开启记住我功能，保存cookie，默认保存时间是两周
http.rememberMe().rememberMeParameter("remember");//自定义接收前端参数

登录页定制

//没有权限访问的情况下会跳转到springboot默认的登录页面
http.formLogin()//当自定义了登录界面后，默认的登录界面就被覆盖了
        .loginPage("/toLogin")//登录界面
        .usernameParameter("user")//usernameParameter("user").passwordParameter("pwd") 自定义接收参数
        .passwordParameter("pwd")
        .loginProcessingUrl("/login");//登陆访问路径：提交表单之后跳转的地址,可以看作一个中转站，这个步骤就是验证user的一个过程

添加记住我功能后的登录页面；

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">
    <title>登录</title>
    <!--semantic-ui-->
    <link href="https://cdn.bootcss.com/semantic-ui/2.4.1/semantic.min.css" rel="stylesheet">
</head>
<body>

<!--主容器-->
<div class="ui container">

    <div class="ui segment">

        <div style="text-align: center">
            <h1 class="header">登录</h1>
        </div>

        <div class="ui placeholder segment">
            <div class="ui column very relaxed stackable grid">
                <div class="column">
                    <div class="ui form">
                        <form th:action="@{/login}" method="post">
                            <div class="field">
                                <label>Username</label>
                                <div class="ui left icon input">
                                    <input type="text" placeholder="Username" name="user">
                                    <i class="user icon"></i>
                                </div>
                            </div>
                            <div class="field">
                                <label>Password</label>
                                <div class="ui left icon input">
                                    <input type="password" name="pwd">
                                    <i class="lock icon"></i>
                                </div>
                            </div>
                            <div class="field">
                                <input type="checkbox" name="remember">记住我
                            </div>

                            <input type="submit" class="ui blue submit button"/>
                        </form>
                    </div>
                </div>
            </div>
        </div>


        <div style="text-align: center">
            <div class="ui label">
                </i>注册
            </div>
            <br><br>
            <small>https://blog.csdn.net/wpc2018?spm=1011.2124.3001.5343</small>
        </div>
        <div class="ui segment" style="text-align: center">
            <h3>Spring Security Study by 万里顾一程</h3>
        </div>
    </div>


</div>

<script th:src="@{/qinjiang/js/jquery-3.1.1.min.js}"></script>
<script th:src="@{/qinjiang/js/semantic.min.js}"></script>

</body>
</html>

7、总结

security核心的两个功能：认证和授权

package com.cheng.config;

import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
    
//配置类横切
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    //授权的规则
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        
        http.authorizeRequests().antMatchers("/").permitAll()//首页所有人都可以访问
        //vip页面只有对应权限的角色才可以访问
        .antMatchers("/level1/**").hasRole("vip1")
        .antMatchers("/level2/**").hasRole("vip2")
        .antMatchers("/level3/**").hasRole("vip3");

        //没有权限访问的情况下会跳转到springboot默认的登录页面
        http.formLogin()//当自定义了登录界面后，默认的登录界面就被覆盖了
                .loginPage("/toLogin")//登录界面
                .usernameParameter("user")//usernameParameter("user").passwordParameter("pwd") 自定义接收参数
                .passwordParameter("pwd")
                .loginProcessingUrl("/login");//登陆访问路径：提交表单之后跳转的地址,可以看作一个中转站，这个步骤就是验证user的一个过程

        //开启注销功能,并返回首页
        http.logout().logoutSuccessUrl("/");

        http.csrf().disable();//禁用csrf保护，默认是开启的

        //开启记住我功能
        http.rememberMe().rememberMeParameter("remember");//自定义接收前端参数
    }


    //认证的规则
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {     
        //在内存中验证,正常情况下应该在数据库中验证jdbcAuthentication()
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())//用密码编码器给密码加密
                .withUser("cheng").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1","vip2")
                .and()//用and拼接用户，这些用户都是伪造的
                .withUser("root").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1","vip2","vip3")
                .and()
                .withUser("guest").password(new BCryptPasswordEncoder().encode("123456")).roles("vip1");

    }
}

本文章为转载内容，我们尊重原作者对文章享有的著作权。如有内容错误或侵权问题，欢迎原作者联系我们进行内容更正或删除文章。