更加优雅地配置Spring Securiy（使用Java配置和注解）
Spring Security 借助一系列Servlet Filter 来提供安全性功能，但是借助Spring的小技巧，我们只需要配置一个Filer就可以了，DelegatingFilterProxy是一个特殊的Servlet Filter，它本身所做的工作并不多，只是将工作委托给一个javax.servlet.Filter 的实现类，这个实现类作为一个bean注册再Spring应用的上下文中。
如果了解过用xml配置spring security的朋友就知道，用基于xml配置Spring Security过程繁琐，而且不容易学习和入门，但是基于javaConfig和注解则大大简化了这一配置，下面我们来看看是如何用java的方式配置Spring Security
首先我们需要配置DelegatingFilterProxy，我们只需要拓展一个新类，该类实现了WebApplicationInitializer，因此Spring会发现它并用他在Web容器中注册DelegatingFilterProxy。
public class SecurityWebInitializer extends AbstractSecurityWebApplicationInitializer {
}
接下来我们需要启用Web安全性功能，也是只需要拓展一个类，Spring Security 必须配置在一个实现了WebSecurityConfigurer 的bean中，或者拓展WebSecurityConfigurerAdapter 。在Spring 应用上下文中，任何实现了WebSecurityConfigurerAdapter 的bean都可以用来配置Spring Security。常用的配置已贴上，也全都写上了对应的注释。
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private UserDetailServiceImpl userDetailService;
//对每个请求进行细粒度安全性控制的关键在于重载一下方法
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()//该方法所返回的对象的方法来配置请求级别的安全细节
.antMatchers("/login")
.permitAll()//对于登录路径不进行拦截
.antMatchers("/show").authenticated()//authenticated()表示允许过的用户访问
.and()
.formLogin()//配置登录页面
.loginPage("/login")//登录页面的访问路径
.loginProcessingUrl("/check")//登录页面下表单提交的路径
.failureUrl("/login")//登录失败后跳转的路径
.defaultSuccessUrl("/show")//登录成功后默认跳转的路径
.and()
.csrf()//启用防跨站伪请求攻击，默认启用
.and()
.logout()//用户退出操作
.logoutUrl("/logout")//用户退出所访问的路径，需要使用Post方式
.permitAll()
.logoutSuccessUrl("/login?logout=true")
.and()
.authorizeRequests()
// //定义路径保护的配置方法
// .antMatchers(HttpMethod.GET,"/admin")
// .authenticated()
.antMatchers(HttpMethod.GET,"/message/**","/object/**").hasRole("USER")
.anyRequest().permitAll()
.and()
.rememberMe()//启用记住我功能
.tokenValiditySeconds(2419200)
;
}
//配置Spring Security的Filter链
@Override
public void configure(WebSecurity web) throws Exception {
super.configure(web);
}
//配置user-detail服务
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(userDetailService)
.passwordEncoder(new StandardPasswordEncoder("53cr3t"))//密码加密方式 ;
// auth.inMemoryAuthentication() //内置用户
// .withUser("user").password("user").roles("USER");
}
}
需要注意的有几点，如果是用xml配置的springmvc环境下，基于javaConfig和注解配置Spring Security同样适用，只需要确保Spring的上下文能够扫描到上述的两个类即可。
如果在JSP页面下使用Spring的表单标签，该标签默认会自动添加隐藏的CSRF token标签，即防跨站伪请求攻击，如果没有使用Spring的表单标签，则需要手动添加以下标签,尤其是进行logout登出时表单提交，在Form标签内必须保护以下内容。
<input type="hiden"
name="${_csrf.parameterName}"
value="${_csrf.token}"}
下面是登录页面
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ taglib prefix="sf" uri="http://www.springframework.org/tags/form" %>
<html>
<head>
<title>login</title>
</head>
<body>
<sf:form action="check" method="post" commandName="user" >
用户名:<sf:input path="username"></sf:input>
password:<sf:password path="password"></sf:password>
<input id="remember_me" name="remember-me" type="checkbox">
<label for="remember_me" class="inline">Remember me</label> <input type="submit" value="提交" > </sf:form>
</body>
</html>
登出页面
<%@ page language="java" contentType="text/html;charset=UTF-8" pageEncoding="UTF-8"%>
<%@ taglib prefix="sf" uri="http://www.springframework.org/tags/form" %>
<html>
<head>
<title>User Manager</title>
</head>
<body> <sf:form id="logoutForm" action="${ctx}/logout" method="post">
<a href="#" onclick="document.getElementById('logoutForm').submit();">注销</a>
</sf:form>
</body>
</html>
如果我们想要配置自定义认证和授权服务，则需要实现UserDetailsService
public class UserDetailServiceImpl implements UserDetailsService {
private static Logger logger=Logger.getLogger(UserDetailServiceImpl.class);
@Autowired
private IUserService userService;
@Autowired
private IRoleService roleService;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
logger.info("===========授权============");
User user= null;
List<Role> role=null;
try {
user = userService.findUserByUsername(username);
role=roleService.listRoleByUserId(user.getId());
logger.info("用户角色为:"+role);
} catch (BaseException e) {
e.printStackTrace();
}
List<GrantedAuthority> list= new ArrayList<GrantedAuthority>();
list.add(new SimpleGrantedAuthority("ROLE_"+role));
org.springframework.security.core.userdetails.User authUser = new
org.springframework.security.core.userdetails.User
(user.getUsername(),user.getPassword(),list);
return authUser;
}
}
该配置将安全级别细分到角色。重写的方法传来的参数为登录的username，再通过该参数从数据库中获取用户，以及相对应的权限，最终通过 将用户、密码、权限传入并实例化org.springframework.security.core.userdetails.User ，从而授权结束。配置安全路径或者方法中的权限依据上述方法中获取并绑定的权限。至此我们就可以对路径进行安全权限保护了。
转载请注明出处：http://www.cnblogs.com/xxzhuang/p/5960001.html 多谢合作。
更加优雅地配置Spring Securiy（使用Java配置和注解）的更多相关文章
- Spring完全基于Java配置和集成Junit单元测试
要点: 配置继承WebApplicationInitializer的类作为启动类,相当于配置web.xml文件 使用@Configuration注解一个类,在类中的方式使用@Bean注解,则表名该方法 ...
- Spring Security基于Java配置
Maven依赖 <dependencies> <!-- ... other dependency elements ... --> <dependency> < ...
- spring-security-4 （2）spring security 基于Java配置的搭建
一.spring security的模块 搭建spring security首先我们要导入必须的jar,即maven的依赖.spring security按模块划分,一个模块对应一个jar. spri ...
- eclipse里面配置spring，提示java.lang.ClassNotFoundException:org.springframework.web.servlet.Dispatcher错误
在eclipse里面创建了一个Dynamic 项目,用到spring,一直提示java.lang.ClassNotFoundException: org.springframework.web.ser ...
- Spring中通过java的@Valid注解和@ControllerAdvice实现全局异常处理。
通过java原生的@Valid注解和spring的@ControllerAdvice和@ExceptionHandler实现全局异常处理的方法: controller中加入@Valid注解: @Req ...
- 【原创】Spring MVC项目搭建（使用Java配置）
一.使用Intellij idea,新建maven项目,选择maven-archetype-webapp. 二.在src/main下新建文件夹,命名为java,并标注为source folder. 三 ...
- Spring MVC + Security 4 初体验（Java配置版）
spring Version = 4.3.6.RELEASE springSecurityVersion = 4.2.1.RELEASE Gradle 3.0 + Eclipse Neno(4.6) ...
- Spring的Java配置方式—@Configuration和@Bean实现Java配置
Java配置是Spring4.x推荐的配置方式,可以完全替代xml配置. 1.@Configuration 和 @BeanSpring的Java配置方式是通过 @Configuration 和 @Be ...
- Spring Boot 2.0 配置图文教程
摘要: 原创出处 https://www.bysocket.com 「公众号:泥瓦匠BYSocket 」欢迎关注和转载,保留摘要,谢谢! 本章内容 自定义属性快速入门 外化配置 自动配置 自定义创建 ...
随机推荐
- Linux: Set OR Change The Library Path
Linux: Set OR Change The Library Path by NIX CRAFT on APRIL 9, 2010 · 3 COMMENTS· LAST UPDATED AUGUS ...
- Akismet API 密钥(key)免费获取方法
Akismet插件是用户使用最广泛的垃圾评论插件,也是wordpress的创始人制作的,同时它也毫无疑问的成为wordpress的默认安装插件,这样的插件可以帮助用户解决垃圾评论的烦恼,而且也不用访客 ...
- Myeclipse 2015 stable 1.0 完美破解方法(转自 http://yangl.net/2015/07/14/myeclipse_2015stable_1/)
Myeclipse 2015 stable 1.0 完美破解方法 http://yangl.net/2015/07/14/myeclipse_2015stable_1/ 破解包(注册机)下载地址:链接 ...
- Oracle 一次生产分库,升级,迁移
今天完成了一个负载较高的中央数据库的分库操作, 并实现了oracle的滚动升级(10.2.0.1->10.2.0.4), 业务中断仅15分钟. 平台: RHEL AS 4 + Oracle 10 ...
- 学习之路三十八：Hook(钩子)的学习
好久没写文章了,还记得年前面试了一家公司,为了检测一下我的学习能力,给了我一个任务,做一个自动登录并自动操作菜单的程序. 花了几天的时间研究了Hook以及使用WindowsAPI操作程序的知识,现在记 ...
- js后退一直停留在当前页面或者禁止后退
//禁用后退按钮 function stopHistoryGo() { //禁用回退 window.location.hash="no-back-button"; window.l ...
- JVM性能分析与优化
JVM性能分析与优化: http://www.docin.com/p-757199232.html
- 关于u-boot中的.balignl 16,0xdeadbeef的理解
.globl _start //不占内存_start: b start_code //占4字节内存 ldr pc, _undefined_instruction //占4字节内存 ldr ...
- 在Unity3D的网络游戏中实现资源动态加载
用Unity3D制作基于web的网络游戏,不可避免的会用到一个技术-资源动态加载.比如想加载一个大场景的资源,不应该在游戏的开始让用户长时间等待全部资源的加载完毕.应该优先加载用户附近的场景资源,在游 ...
- 基于HTML5的Web跨设备超声波通信方案
前言:Chirp在iPhone上掀起了有声传输文件的序幕,我们再也不需要彩信.蓝牙配对.IM来传送数据.它通过“叽叽喳喳”的小鸟叫声来分享数据,简单有趣,而且可以快速的实现一对多的分享. 此外支付宝曾 ...