Spring-Security自定义登录页&inMemoryAuthentication验证

Spring Security是为基于Spring的应用程序提供声明式安全保护的安全性框架。框架下内容比较多，可以做到按照角色权限对请求路径进行限制。今天主要验证自定义登录页，在内存用户存储中进行请求的权限校验。闲话休提，下面直接探讨我的验证过程，如果有比较好的意见，欢迎各位指正。

1、系统使用Maven进行jar包管理，spring用的5.0版本。首先在pom文件中添加Spring Security的jar包依赖

  <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-core</artifactId>
            <version>${security-version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-web</artifactId>
            <version>${security-version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-config</artifactId>
            <version>${security-version}</version>
        </dependency>  

2、添加SecurityConfig 文件，对WebSecurityConfigurerAdapter类进行扩展，重写configure方法。(WebSecurityConfigurerAdapter是对应用中安全框架的个性化定制)

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    /**
     * HTTP请求处理
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
         .formLogin().loginPage("/user/login.do")
         .defaultSuccessUrl("/free/list.do")//启用FORM登录
        .and().authorizeRequests().antMatchers("/user/login.do").permitAll()//登录页允许所有人访问
        .and().authorizeRequests().antMatchers("/**/*.do").authenticated()
        .and().httpBasic()
        .and().csrf().disable();  //暂时禁用CSRF
    }
    /**
     * 授权验证服务
     */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        /*auth.inMemoryAuthentication()
        .withUser("simm").password("{noop}123").roles("USER").and()
        .withUser("admin").password("{noop}admin").roles("USER","ADMIN");*/

        auth.inMemoryAuthentication().passwordEncoder(NoOpPasswordEncoder.getInstance())
        .withUser("simm").password("123").roles("USER").and()
        .withUser("admin").password("admin").roles("USER","ADMIN");
    }
    //.and().requiresChannel().regexMatchers("^((?!/user/login).)*.do").requiresSecure()
    //.regexMatchers("^((?!/user/login).)*.do")
}

   备注：新版本的Spring Security要求必须为用户配置提供编码器，否则会报找不到相应的编码器错误。这里有个不是很重要的知识点，假如我们没有调用passwordEncoder方法为用户验证指明编码器，那么有一种替代方案，就是在密码前加"{noop}"等前缀，跟踪源码发现，框架会自动解析{}中的key去匹配相应的编码器。下面提供一个调试的图，可以了解下。

3、添加AppInitializer类,对AbstractSecurityWebApplicationInitializer进行扩展实现，系统启动会自动插入SpringSecurityFilter，完成对请求的安全性拦截。

public class AppInitializer extends AbstractSecurityWebApplicationInitializer   { }

下面截图为AbstractSecurityWebApplicationInitializer中SpringSecurityFilter的启用过程，可做参考。

4、添加登录控制Controller。action接两个可选的请求参数error,logout。当登录失败，框架会重定向到登录页添加一个error参数。当调用/logout 退出系统时，框架在执行完退出事件，清理完身份信息后，重定向回登录页，携带一个logout参数。

@Controller
@RequestMapping("/user")
// 添加session信息的注解，可以实现 session信息与map的映射 赋值
@SessionAttributes("user")
public class UserController {
    @RequestMapping(value = "/login", method = RequestMethod.GET)
    public String login(@RequestParam(value = "error", required = false) String error,
            @RequestParam(value = "logout", required = false) String logout,Model model) {
        if (error != null) {
            model.addAttribute("msg", "用户名或密码错误！");
        }
        if (logout != null) {
            model.addAttribute("msg", "成功退出！");
        }
        return "user/login";
    }

5、接下来开始访问系统查看框架应用后的结果

• 直接访问非登录页，由于没有登录，系统跳转至授权登录页面

• 验证登录失败，重定向回登录页并自动携带error参数

• 验证登录成功,重定向到成功页面

• 点击退出系统

    

安全性框架内容比较广泛，后面将尝试读取数据库中用户,自定义用户校验，https请求，跨站请求伪造等方面的功能。今天的内容比较简单，先作为第一波的敲门砖。