SpringSecucity入门Demo

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。

接下来带着大家一步一步的搭建和使用第一个SpringSecurity项目。

我们需要进行如下的准备工作：

• 拥有maven环境
• 创建一个基于maven 的web项目

引入依赖文件

• 因为Spring Security是配合Spring进行开发的，所以需要引入Spring 的相关jar包，以及Spring Security的jar包。

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>

    <groupId>cn.rayfoo</groupId>
    <artifactId>springSecurity-demo</artifactId>
    <version>1.0-SNAPSHOT</version>
    <packaging>war</packaging>

    <properties>
        <spring.version>4.2.4.RELEASE</spring.version>
    </properties>
    <dependencies>
        <dependency>
            <groupId>org.springframework</groupId>
            <artifactId>spring-core</artifactId>
            <version>${spring.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework</groupId>
            <artifactId>spring-web</artifactId>
            <version>${spring.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework</groupId>
            <artifactId>spring-webmvc</artifactId>
            <version>${spring.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework</groupId>
            <artifactId>spring-context-support</artifactId>
            <version>${spring.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework</groupId>
            <artifactId>spring-test</artifactId>
            <version>${spring.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework</groupId>
            <artifactId>spring-jdbc</artifactId>
            <version>${spring.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-web</artifactId>
            <version>4.1.0.RELEASE</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-config</artifactId>
            <version>4.1.0.RELEASE</version>
        </dependency>
        <dependency>
            <groupId>javax.servlet</groupId>
            <artifactId>servlet-api</artifactId>
            <version>2.5</version>
            <scope>provided</scope>
        </dependency>
    </dependencies>
    <build>
        <plugins>
            <!-- java编译插件 -->
            <plugin>
                <groupId>org.apache.maven.plugins</groupId>
                <artifactId>maven-compiler-plugin</artifactId>
                <version>3.2</version>
                <configuration>
                    <source>1.8</source>
                    <target>1.8</target>
                    <encoding>UTF-8</encoding>
                </configuration>
            </plugin>
            <plugin>
                <groupId>org.apache.tomcat.maven</groupId>
                <artifactId>tomcat7-maven-plugin</artifactId>
                <configuration>
                    <!-- 指定端口 -->
                    <port>9090</port>
                    <!-- 请求路径 -->
                    <path>/</path>
                </configuration>
            </plugin>
        </plugins>
    </build>
</project>

配置web.xml

• 使用SpringSecurity需要在web.xml中配置一个过滤器，用于过滤请求的路径。值得一提的是，这个过滤器我们使用的是Spring-web下的一个过滤器代理。将filter-name指定为springSecurityFilterChain即可自动实现SpringSecurty的拦截功能。
• 于此同时还需要加载SpringSecurity的配置文件。

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
         version="4.0">

    <context-param>
        <param-name>contextConfigLocation</param-name>
        <param-value>classpath:spring-security.xml</param-value>
    </context-param>
    <listener>
        <listener-class>
            org.springframework.web.context.ContextLoaderListener
        </listener-class>
    </listener>
    <filter>
        <filter-name>springSecurityFilterChain</filter-name>
        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>springSecurityFilterChain</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
</web-app>

配置SpringSecurity配置文件

• 由于在此配置文件中会频繁使用到security:xx</security:xx>，所以在头文件中，可以将默认的标签头指定为security。<beans:beans xmlns="http://www.springframework.org/schema/security".....></beans:beans>，此时security前缀就可以省略。
• <http></http>标签用于创建拦截规则。
  • use-expressions：是否开启SCEL表达式，默认为true
  • 如果开启了SCEL表达式，那么创建access时就不能直接使用字面值了，而是需要使用hasRole("ROLE_USER")
• intercept-url：该子标签用于指定具体的拦截规则
  • pattern：该属性用于指定拦截哪些路径，例如：/img表示拦截/img/xxx请求(如果是/img/xx/xx就不会被拦截啦)，/*表示一级目录的所有，/**则表示拦截所有请求。这一点与web.xml略有不同。
  • access：该属性用于指定一个角色名，角色名的定义规范：必须以大写的ROLE_加下划线开头。
• 表示由SpringSecurity提供一个登陆页面，用户的账号密码验证成功后自动跳转到index.html。该标签还可以指定自定义的登陆页面，和成功、失败后跳转到哪个页面。

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
             xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
						http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">

    <!-- 页面拦截规则 -->
    <http use-expressions="false">
        <intercept-url pattern="/**" access="ROLE_USER" />
        <form-login/>
    </http>

    <!-- 认证管理器 -->
    <authentication-manager>
         <!-- 认证提供者 -->
        <authentication-provider>
            <user-service>
                <user name="admin" password="admin" authorities="ROLE_USER"/>
                <user name="root" password="root" authorities="ROLE_USER"/>
            </user-service>
        </authentication-provider>
    </authentication-manager>

</beans:beans>

此时，启动项目发送任意请求都会被拦截，并且重定向到SpringSecurity提供的登录页上，当登陆成功后会自动跳转到index.html。

自定义登陆页面

由于官方提供的登陆页面只适用于测试环境，生产环节中我们都会使用自定义的登陆页面，那么如何指定登陆页面呢？

• 首先我们需要先准备好登陆页面。登陆页面的表单需要提供username和password两个name值，这两个name对应的值会被springSerurity获取并于其中配置的<user name="admin" password="admin" authorities="ROLE_USER"/>进行匹配，如果完全一致则登陆成功，反之登陆失败。

• 由于上面我们拦截的时/**，在使用自定义登陆页面的时候必须放行相关资源和页面（登陆页面、以及其他不登陆即可访问的页面），否则会出现访问login.html被拦截，重定向到/login.html又被拦截。。。。。导致请求过多无法访问的情况。

• 配置资源放行，添加一个http标签，指定pattern和security为none即可放行相关页面。

    <http pattern="/login.html" security="none"></http>
    <http pattern="/login_error_page.html" security="none"></http>
    <http pattern="/css/**" security="none"></http>
    <http pattern="/js/**" security="none"></http>

• 解决跨域问题
  • 由于SpringSecurity默认支持的时JSP文件，它提交表单时，会提供一个请求头信息X-CSRF-TOKEN。这个请求头可以防止跨站请求伪造，俗称“跨域”。
  • 所以我们使用html页面的时候为了解决这个跨域问题。我们需要关闭SpringSecurity的放跨域保护。
  • 该标签必须配置在 <http use-expressions="false">中。

<csrf disable="true"/>

• 配置自定义登陆页面
  • login-page：表示用户的登陆页面
  • default-target-url：表示用户登陆成功后跳转到的页面
  • authentication-failure-url：表示登陆失败后显示的页面

    <!-- 页面拦截规则 -->
    <http use-expressions="false">
        <intercept-url pattern="/**" access="ROLE_USER" />
        <form-login login-page = "/login.html" default-target-url = "/index.html" authentication-failure-url = "/login_error_page.html"/>
        <csrf disable="true"/>
    </http>

自定义登陆认证以及密码加密，我们下一篇再见~

SpringSecucity入门Demo

原文：https://www.cnblogs.com/zhangruifeng/p/12741537.html