Spring Security 表单登录功能的实现方法

2023-08-21 09:47:04 71

1.简介

本文将重点介绍使用SpringSecurity登录。本文将构建在之前简单的SpringMVC示例之上，因为这是设置Web应用程序和登录机制的必不可少的。

2.Maven依赖

要将Maven依赖项添加到项目中，请参阅SpringSecuritywithMaven一文。标准的spring-security-web和spring-security-config都是必需的。

3.SpringSecurityJava配置

我们首先创建一个扩展WebSecurityConfigurerAdapter的SpringSecurity配置类。通过添加@EnableWebSecurity，我们获得了SpringSecurity和MVC集成支持：

@Configuration
@EnableWebSecurity
publicclassSecSecurityConfigextendsWebSecurityConfigurerAdapter{
@Override
protectedvoidconfigure(finalAuthenticationManagerBuilderauth)throwsException{
auth.inMemoryAuthentication()
.withUser("user1").password(passwordEncoder().encode("user1Pass")).roles("USER")
.and()
.withUser("user2").password(passwordEncoder().encode("user2Pass")).roles("USER")
.and()
.withUser("admin").password(passwordEncoder().encode("adminPass")).roles("ADMIN");
}
@Override
protectedvoidconfigure(finalHttpSecurityhttp)throwsException{
http
.csrf().disable()
.authorizeRequests()
.antMatchers("/admin/**").hasRole("ADMIN")
.antMatchers("/anonymous*").anonymous()
.antMatchers("/login*").permitAll()
.anyRequest().authenticated()
.and()
.formLogin()
.loginPage("/login.html")
.loginProcessingUrl("/perform_login")
.defaultSuccessUrl("/homepage.html",true)
//.failureUrl("/login.html?error=true")
.failureHandler(authenticationFailureHandler())
.and()
.logout()
.logoutUrl("/perform_logout")
.deleteCookies("JSESSIONID")
.logoutSuccessHandler(logoutSuccessHandler());
}
@Bean
publicPasswordEncoderpasswordEncoder(){
returnnewBCryptPasswordEncoder();
}
}

在此示例中，我们使用内存身份验证并定义了3个用户。

现在来看看我们用来创建表单登录配置的元素。

3.1.authorizeRequests()

我们允许匿名访问*/login*，以便用户可以进行身份验证，同时也是保护其他请求。请注意，*antMatchers()*元素的顺序很重要-首先需要填写具体的路径规则，然后是才是大致匹配的规则。

3.2.formLogin()

这有几种方法可以用来配置表单登录的行为：

loginPage() –自定义登录页面
loginProcessingUrl() –提交username和password的URL
defaultSuccessUrl() –登录成功后跳转的URL
failureUrl() –登录失败后跳转的URL

3.3.AuthenticationManager

身份验证提供程序由一个简单的内存实现支持-InMemoryUserDetailsManager。当尚不需要完整的持久性机制时，这对于进行快速原型设计很有用。

从Spring5开始，我们还必须定义密码编码器。在我们的例子中，我们使用了BCryptPasswordEncoder。

4.添加SpringSecurity到Web应用

要使用上面定义的SpringSecurity配置，我们需要将其添加到Web应用程序。在这种情况下，我们不需要任何web.xml：

publicclassSpringApplicationInitializer
extendsAbstractAnnotationConfigDispatcherServletInitializer{

protectedClass[]getRootConfigClasses(){
returnnewClass[]{SecSecurityConfig.class};
}
}

注意，如果我们使用SpringBoot应用程序，则不需要此初始化程序。有关如何在SpringBoot中加载安全性配置的更多详细信息，详情参阅SpringBootsecurityauto-configuration

5.SpringSecurityXML配置

我们来看看相应的XML配置。整个项目使用Java配置，因此我们需要通过Java@Configuration类导入XML配置文件：

@Configuration
@ImportResource({"classpath:webSecurityConfig.xml"})
publicclassSecSecurityConfig{
publicSecSecurityConfig(){
super();
}
}

以及SpringSecurity的XML配置–webSecurityConfig.xml:

6.web.xml

在引入Spring4之前，我们曾经在web.xml中配置SpringSecurity-只有一个额外的过滤器添加到SpringMVC的web.xml中：

SpringSecuredApplication





springSecurityFilterChain
org.springframework.web.filter.DelegatingFilterProxy


springSecurityFilterChain
/*

过滤器-DelegatingFilterProxy-简单地委托给一个Spring管理的bean-FilterChainProxy-它本身可以从完整的Springbean生命周期管理中受益。

7.LoginForm

登录表单页面使用简单的机制将视图名称映射到URL向SpringMVC注册，且无需编写Controller：

registry.addViewController("/login.html");

对应于login.jsp：




Login



User:



Password:

SpringLoginform包含以下相关组件：

login -接受表单POST的URL，触发身份验证过程
username -用户名
password -密码

8.进一步配置Spring登录

当我们在上面介绍Spring安全配置时，我们简要讨论了一些登录机制的配置-现在详细介绍一下。

覆盖SpringSecurity中大多数默认值的一个原因是隐藏应用程序受SpringSecurity保护的事实，并最大限度地减少潜在攻击者对应用程序的了解。

完全配置后，login元素如下所示：

@Override
protectedvoidconfigure(HttpSecurityhttp)throwsException{
http.formLogin()
.loginPage("/login.html")
.loginProcessingUrl("/perform_login")
.defaultSuccessUrl("/homepage.html",true)
.failureUrl("/login.html?error=true")
}

或者相应的XML配置：

8.1.登录页

接下来，让我们看看如何使用*loginPage()*方法配置自定义登录页面：

http.formLogin()
.loginPage("/login.html")

或者，使用XML配置：

如果我们不指定这个，SpringSecurity将在*/login*上生成一个非常基本的登录表单。

8.2.登录的POSTURL

触发身份验证默认的URL是*/login*，我们可以使用loginProcessingUrl方法来覆盖此URL：

http.formLogin()
.loginProcessingUrl("/perform_login")

或者，使用XML配置:

覆盖此默认URL的一个很好的理由是：隐藏应用程序受SpringSecurity保护的事实-该信息不应在外部提供。

8.3.登录成功页面

成功登录过程后，用户将被重定向到页面-默认情况下，该页面是Web应用程序的根目录。

我们可以通过*defaultSuccessUrl()*方法覆盖它：

http.formLogin()
.defaultSuccessUrl("/homepage.html")

或者，使用XML配置：

default-target-url="/homepage.html"

如果always-use-default-target设置为true，则用户始终会重定向到此页面。如果该属性设置为false，则在提示进行身份验证之前，用户将被重定向到他们想要访问的上一页。

8.4.登录失败页面

与登录页面相同，默认情况下，SpringSecurity会在*/login?error*自动生成登录失败页面。

要覆盖它，我们可以使用*failureUrl()*方法：

http.formLogin()
.failureUrl("/login.html?error=true")

或者XML:

authentication-failure-url="/login.html?error=true"

9.结论

在这个Spring登录示例中，我们配置了一个简单的身份验证过程-我们讨论了Spring安全登录表单，安全配置和一些可用的更高级的自定义。

这个Spring登录教程的实现可以在GitHub项目中找到-这是一个基于Eclipse的项目，所以它应该很容易导入和运行。

当项目在本地运行时，可以在以下位置访问示例HTML：

http://localhost:8080/spring-security-mvc-login/login.html

总结

以上所述是小编给大家介绍的SpringSecurity表单登录功能的实现方法,希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对毛票票网站的支持！
如果你觉得本文对你有帮助，欢迎转载，烦请注明出处，谢谢！

Spring Security 表单登录功能的实现方法

Login

热门推荐

随机推荐