摘要: 原创出处 https://www.cnkirito.moe/spring-security-2/ 「老徐」欢迎转载，保留摘要，谢谢！

2 Spring Security Guides

上一篇文章《Spring Security(一)–Architecture Overview》，我们介绍了Spring Security的基础架构，这一节我们通过Spring官方给出的一个guides例子，来了解Spring Security是如何保护我们的应用的，之后会对进行一个解读。

2 Spring Security Guides

2.1 引入依赖

 <dependencies>

     <dependency>

         <groupId>org.springframework.boot</groupId>

         <artifactId>spring-boot-starter-web</artifactId>

     </dependency>

     <dependency>

         <groupId>org.springframework.boot</groupId>

         <artifactId>spring-boot-starter-security</artifactId>

     </dependency>

     <dependency>

         <groupId>org.springframework.boot</groupId>

         <artifactId>spring-boot-starter-thymeleaf</artifactId>

     </dependency>

 </dependencies>

2.2 创建一个不受安全限制的web应用由于我们集成了springboot，所以不需要显示的引入Spring Security文档中描述core，config依赖，只需要引入spring-boot-starter-security即可。

这是一个首页，不受安全限制

src/main/resources/templates/home.html

 <!DOCTYPE html>

 <html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org" xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">

     <head>

         <title>Spring Security Example</title>

     </head>

     <body>

         <h1>Welcome!</h1>

         <p>Click <a th:href="@{/hello}">here</a> to see a greeting.</p>

     </body>

 </html>

src/main/resources/templates/hello.html这个简单的页面上包含了一个链接，跳转到”/hello”。对应如下的页面

 <!DOCTYPE html>

 <html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org"

       xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">

     <head>

         <title>Hello World!</title>

     </head>

     <body>

         <h1>Hello world!</h1>

     </body>

 </html>

 @Configuration

 public class MvcConfig extends WebMvcConfigurerAdapter {

     @Override

     public void addViewControllers(ViewControllerRegistry registry) {

         registry.addViewController("/home").setViewName("home");

         registry.addViewController("/").setViewName("home");

         registry.addViewController("/hello").setViewName("hello");

         registry.addViewController("/login").setViewName("login");

     }

 }

2.3 配置Spring Security接下来配置Spring MVC，使得我们能够访问到页面。

一个典型的安全配置如下所示：

 @Configuration

 @EnableWebSecurity <1>

 public class WebSecurityConfig extends WebSecurityConfigurerAdapter { <1>

     @Override

     protected void configure(HttpSecurity http) throws Exception {

         http <2>

             .authorizeRequests()

                 .antMatchers("/", "/home").permitAll()

                 .anyRequest().authenticated()

                 .and()

             .formLogin()

                 .loginPage("/login")

                 .permitAll()

                 .and()

             .logout()

                 .permitAll();

     }

     @Autowired

     public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {

         auth <3>

             .inMemoryAuthentication()

                 .withUser("admin").password("admin").roles("USER");

     }

 }

<2> configure(HttpSecurity)定义了哪些URL路径应该被拦截，如字面意思所描述：”/“, “/home”允许所有人访问，”/login”作为登录入口，也被允许访问，而剩下的”/hello”则需要登陆后才可以访问。<1> @EnableWebSecurity注解使得SpringMVC集成了Spring Security的web安全支持。另外，WebSecurityConfig配置类同时集成了WebSecurityConfigurerAdapter，重写了其中的特定方法，用于自定义Spring Security配置。整个Spring Security的工作量，其实都是集中在该配置类，不仅仅是这个guides，实际项目中也是如此。

<3> configureGlobal(AuthenticationManagerBuilder)在内存中配置一个用户，admin/admin分别是用户名和密码，这个用户拥有USER角色。

我们目前还没有登录页面，下面创建登录页面：

 <!DOCTYPE html>

 <html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org"

       xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">

     <head>

         <title>Spring Security Example </title>

     </head>

     <body>

         <div th:if="${param.error}">

             Invalid username and password.

         </div>

         <div th:if="${param.logout}">

             You have been logged out.

         </div>

         <form th:action="@{/login}" method="post">

             <div><label> User Name : <input type="text" name="username"/> </label></div>

             <div><label> Password: <input type="password" name="password"/> </label></div>

             <div><input type="submit" value="Sign In"/></div>

         </form>

     </body>

 </html>

最后，我们为hello.html添加一些内容，用于展示用户信息。这个Thymeleaf模板提供了一个用于提交用户名和密码的表单,其中name=”username”，name=”password”是默认的表单值，并发送到“/ login”。在默认配置中，Spring Security提供了一个拦截该请求并验证用户的过滤器。如果验证失败，该页面将重定向到“/ login?error”，并显示相应的错误消息。当用户选择注销，请求会被发送到“/ login?logout”。

<!DOCTYPE html>

<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org"

      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">

    <head>

        <title>Hello World!</title>

    </head>

    <body>

        <h1 th:inline="text">Hello [[${#httpServletRequest.remoteUser}]]!</h1>

        <form th:action="@{/logout}" method="post">

            <input type="submit" value="Sign Out"/>

        </form>

    </body>

</html>

2.4 添加启动类我们使用Spring Security之后，HttpServletRequest#getRemoteUser()可以用来获取用户名。登出请求将被发送到“/ logout”。成功注销后，会将用户重定向到“/ login?logout”。

@SpringBootApplication

public class Application {

    public static void main(String[] args) throws Throwable {

        SpringApplication.run(Application.class, args);

    }

}

访问首页`http://localhost:8080/`:2.5 测试

home.html

点击here，尝试访问受限的页面：/hello,由于未登录，结果被强制跳转到登录也/login：

输入正确的用户名和密码之后，跳转到之前想要访问的/hello:

hello.html

点击Sign out退出按钮，访问:/logout,回到登录页面:

logout.html

Spring Security 无法登陆，报错：There is no PasswordEncoder mapped for the id “null”

网上百度了一下发现这是因为Spring security 5.0中新增了多种加密方式，也改变了密码的格式。

要想我们的项目还能够正常登陆，需要修改一下configure中的代码。我们要将前端传过来的密码进行某种方式加密，spring security 官方推荐的是使用bcrypt加密方式。那么如何对密码加密呢，只需要在configure方法里面指定一下。

修改后是这样的：

protected void configure(AuthenticationManagerBuilder auth) throws Exception {

//inMemoryAuthentication 从内存中获取

auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder()).withUser("user1").password(new BCryptPasswordEncoder().encode("123456")).roles("USER");

}

在inMemoryAuthentication()后面多了".passwordEncoder(new BCryptPasswordEncoder())",这相当于登陆时用BCrypt加密方式对用户密码进行处理。以前的".password("123456")" 变成了 ".password(new BCryptPasswordEncoder().encode("123456"))" ，这相当于对内存中的密码进行Bcrypt编码加密。比对时一致，说明密码正确，允许登陆。

如果你现在用的也是从内存中取密码，那么按照上面这么修改后应该会成功登录没有问题的。

如果你用的是在数据库中存储用户名和密码，那么一般是要在用户注册时就使用BCrypt编码将用户密码加密处理后存储在数据库中。并且修改configure()方法，加入".passwordEncoder(new BCryptPasswordEncoder())"，保证用户登录时使用bcrypt对密码进行处理再与数据库中的密码比对。如下：

//注入userDetailsService的实现类

auth.userDetailsService(userService).passwordEncoder(new BCryptPasswordEncoder());

Spring Security(二) —— Guides的更多相关文章

Spring Security(四) —— 核心过滤器源码分析
摘要: 原创出处 https://www.cnkirito.moe/spring-security-4/ 「老徐」欢迎转载,保留摘要,谢谢! 4 过滤器详解前面的部分,我们关注了Spring Sec ...
Spring Security(三) —— 核心配置解读
摘要: 原创出处 https://www.cnkirito.moe/spring-security-3/ 「老徐」欢迎转载,保留摘要,谢谢! 3 核心配置解读上一篇文章<Spring Secu ...
学习Spring Security OAuth认证(一)-授权码模式
一.环境 spring boot+spring security+idea+maven+mybatis 主要是spring security 二.依赖 <dependency> <g ...
基于Spring Boot+Spring Security+JWT+Vue前后端分离的开源项目
一.前言最近整合Spring Boot+Spring Security+JWT+Vue 完成了一套前后端分离的基础项目,这里把它开源出来分享给有需要的小伙伴们功能很简单,单点登录,前后端动态权限配 ...
【Spring Security】二、数据库管理用户权限
一引入相关的jar包这个例子用的是mysql数据库和c3p0开源的jdbc连接池,在项目的pom.xml中引入jar包  <dependency> ...
Spring Security（二）
Spring Security(二) 注:凡是源码部分,我已经把英文注释去掉了,有兴趣的同学可以在自己项目里进去看看.:-) 定义用户认证逻辑用户登录成功后,用户的信息会被 Security 封装在 ...
Spring Security教程(二)：通过数据库获得用户权限信息
上一篇博客中,Spring Security教程(一):初识Spring Security,我把用户信息和权限信息放到了xml文件中,这是为了演示如何使用最小的配置就可以使用Spring Securi ...
[转]Spring Security学习总结二
原文链接: http://www.blogjava.net/redhatlinux/archive/2008/08/20/223148.html http://www.blogjava.net/red ...
Spring Security 自定义登录认证（二）
一.前言本篇文章将讲述Spring Security自定义登录认证校验用户名.密码,自定义密码加密方式,以及在前后端分离的情况下认证失败或成功处理返回json格式数据温馨小提示:Spring Se ...

随机推荐

Java实现蓝桥杯算法训练 Number Challenge（暴力）
试题算法训练 Number Challenge 资源限制时间限制:3.0s 内存限制:512.0MB 问题描述定义d(n)为n的约数个数.现在,你有三个数a,b,c.你的任务是计算下面式子mod ...
Java实现蓝桥杯VIP 算法训练 P0504
试题算法训练 P0504 资源限制时间限制:1.0s 内存限制:256.0MB Anagrams指的是具有如下特性的两个单词:在这两个单词当中,每一个英文字母(不区分大小写)所出现的次数都是相同的 ...
第三届蓝桥杯JavaB组国(决)赛真题
解题代码部分来自网友,如果有不对的地方,欢迎各位大佬评论题目1.数量周期 [结果填空](满分9分) 复杂现象背后的推动力,可能是极其简单的原理.科学的目标之一就是发现纷繁复杂的自然现象背后的简单法则 ...
第七届蓝桥杯JavaC组省赛真题
解题代码部分来自网友,如果有不对的地方,欢迎各位大佬评论题目1.有奖竞猜题目描述小明很喜欢猜谜语. 最近,他被邀请参加了X星球的猜谜活动. 每位选手开始的时候都被发给777个电子币. 规则是:猜 ...
java实现第四届蓝桥杯核桃的数量
核桃的数量题目描述小张是软件项目经理,他带领3个开发组.工期紧,今天都在加班呢.为鼓舞士气,小张打算给每个组发一袋核桃(据传言能补脑).他的要求是: 各组的核桃数量必须相同各组内必须能平分核桃( ...
Android中Widget开发步骤
一.创建一个类,继承自 AppWidgetProvider 生命周期介绍: onEnabled():创建第一个widget时调用 onDisabled():删除最后一个widget时调用二.在清单文 ...
简述hadoop安装步骤
简述hadoop安装步骤安装步骤: 1.安装虚拟机系统,并进行准备工作(可安装- 一个然后克隆) 2.修改各个虚拟机的hostname和host 3.创建用户组和用户 4.配置虚拟机网络,使虚拟机系 ...
CMDB 和自动化运维
目录传统运维和自动化运维的对比 CMDB CMDB 的几种实现方式传统运维和自动化运维的对比 1.企业中,项目的发布流程产品经理调研需求 -->三方开会讨论(开发,产品,运维,测试) -– ...
test for OCr
Redis的持久化设计
Redis 持久化设计持久化的功能:Redis是内存数据库,数据都是存储在内存中的,为了避免进程退出导致数据的永久丢失,要定期将Redis中的数据以某种形式从内存保存到硬盘,当下次Reids重启时, ...

Spring Security(二) —— Guides