2. 程式人生 > 程式設計 >Spring Security自定義登入原理及實現詳解

Spring Security自定義登入原理及實現詳解

阿新 • • 發佈：2020-09-08

1. 前言

前面的關於 Spring Security 相關的文章只是一個預熱。為了接下來更好的實戰，如果你錯過了請從 Spring Security 實戰系列 開始。安全訪問的第一步就是認證（Authentication），認證的第一步就是登入。今天我們要通過對 Spring Security 的自定義，來設計一個可擴充套件，可伸縮的 form 登入功能。

2. form 登入的流程

下面是 form 登入的基本流程：

Spring Security自定義登入原理及實現詳解

只要是 form 登入基本都能轉化為上面的流程。接下來我們看看 Spring Security 是如何處理的。

3. Spring Security 中的登入

昨天 Spring Security 實戰乾貨：自定義配置類入口WebSecurityConfigurerAdapter 中已經講到了我們通常的自定義訪問控制主要是通過 HttpSecurity 來構建的。預設它提供了三種登入方式：

  • formLogin() 普通表單登入
  • oauth2Login() 基於 OAuth2.0 認證/授權協議
  • openidLogin() 基於 OpenID 身份認證規範

以上三種方式統統是 AbstractAuthenticationFilterConfigurer 實現的，

4. HttpSecurity 中的 form 表單登入

啟用表單登入通過兩種方式一種是通過 HttpSecurity 的 apply(C configurer) 方法自己構造一個 AbstractAuthenticationFilterConfigurer 的實現，這種是比較高階的玩法。 另一種是我們常見的使用 HttpSecurity 的 formLogin() 方法來自定義 FormLoginConfigurer 。我們先搞一下比較常規的第二種。

4.1 FormLoginConfigurer

該類是 form 表單登入的配置類。它提供了一些我們常用的配置方法：

  • loginPage(String loginPage) : 登入 頁面而並不是介面，對於前後分離模式需要我們進行改造 預設為 /login。
  • loginProcessingUrl(String loginProcessingUrl) 實際表單向後臺提交使用者資訊的 Action，再由過濾器UsernamePasswordAuthenticationFilter 攔截處理，該 Action 其實不會處理任何邏輯。
  • usernameParameter(String usernameParameter) 用來自定義使用者引數名，預設 username 。
  • passwordParameter(String passwordParameter) 用來自定義使用者密碼名，預設 password
  • failureUrl(String authenticationFailureUrl) 登入失敗後會重定向到此路徑， 一般前後分離不會使用它。
  • failureForwardUrl(String forwardUrl) 登入失敗會轉發到此， 一般前後分離用到它。 可定義一個 Controller （控制器）來處理返回值,但是要注意 RequestMethod。
  • defaultSuccessUrl(String defaultSuccessUrl,boolean alwaysUse) 預設登陸成功後跳轉到此 ，如果 alwaysUse 為 true 只要進行認證流程而且成功，會一直跳轉到此。一般推薦預設值 false
  • successForwardUrl(String forwardUrl) 效果等同於上面 defaultSuccessUrl 的 alwaysUse 為 true 但是要注意 RequestMethod。
  • successHandler(AuthenticationSuccessHandler successHandler) 自定義認證成功處理器，可替代上面所有的 success 方式
  • failureHandler(AuthenticationFailureHandler authenticationFailureHandler) 自定義失敗成功處理器，可替代上面所有的 success 方式
  • permitAll(boolean permitAll) form 表單登入是否放開

知道了這些我們就能來搞個定製化的登入了。

5. Spring Security 聚合登入 實戰

接下來是我們最激動人心的實戰登入操作。 有疑問的可認真閱讀 Spring 實戰 的一系列預熱文章。

5.1 簡單需求

我們的介面訪問都要通過認證，登陸錯誤後返回錯誤資訊（json），成功後前臺可以獲取到對應資料庫使用者資訊（json）（實戰中記得脫敏）。

我們定義處理成功失敗的控制器：

 @RestController
 @RequestMapping("/login")
 public class LoginController {
   @Resource
   private SysUserService sysUserService;

   /**
    * 登入失敗返回 401 以及提示資訊.
    *
    * @return the rest
    */
   @PostMapping("/failure")
   public Rest loginFailure() {

     return RestBody.failure(HttpStatus.UNAUTHORIZED.value(),"登入失敗了，老哥");
   }

   /**
    * 登入成功後拿到個人資訊.
    *
    * @return the rest
    */
   @PostMapping("/success")
   public Rest loginSuccess() {
      // 登入成功後用戶的認證資訊 UserDetails會存在 安全上下文暫存器 SecurityContextHolder 中
     User principal = (User) SecurityContextHolder.getContext().getAuthentication().getPrincipal();
     String username = principal.getUsername();
     SysUser sysUser = sysUserService.queryByUsername(username);
     // 脫敏
     sysUser.setEncodePassword("[PROTECT]");
     return RestBody.okData(sysUser,"登入成功");
   }
 }

然後 我們自定義配置覆寫 void configure(HttpSecurity http) 方法進行如下配置（這裡需要禁用crsf）：

 @Configuration
 @ConditionalOnClass(WebSecurityConfigurerAdapter.class)
 @ConditionalOnWebApplication(type = ConditionalOnWebApplication.Type.SERVLET)
 public class CustomSpringBootWebSecurityConfiguration {

   @Configuration
   @Order(SecurityProperties.BASIC_AUTH_ORDER)
   static class DefaultConfigurerAdapter extends WebSecurityConfigurerAdapter {
     @Override
     protected void configure(AuthenticationManagerBuilder auth) throws Exception {
       super.configure(auth);
     }

     @Override
     public void configure(WebSecurity web) throws Exception {
       super.configure(web);
     }

     @Override
     protected void configure(HttpSecurity http) throws Exception {
       http.csrf().disable()
           .cors()
           .and()
           .authorizeRequests().anyRequest().authenticated()
           .and()
           .formLogin()
           .loginProcessingUrl("/process")
           .successForwardUrl("/login/success").
           failureForwardUrl("/login/failure");

     }
   }
 }

使用 Postman 或者其它工具進行 Post 方式的表單提交 http://localhost:8080/process?username=Felordcn&password=12345 會返回使用者資訊：

 {
   "httpStatus": 200,"data": {
     "userId": 1,"username": "Felordcn","encodePassword": "[PROTECT]","age": 18
   },"msg": "登入成功","identifier": ""
 }

把密碼修改為其它值再次請求認證失敗後 ：

  {
    "httpStatus": 401,"data": null,"msg": "登入失敗了，老哥","identifier": "-9999"
  }

6. 多種登入方式的簡單實現

就這麼完了麼？現在登入的花樣繁多。常規的就有簡訊、郵箱、掃碼 ，第三方是以後我要講的不在今天範圍之內。 如何應對想法多的產品經理？ 我們來搞一個可擴充套件各種姿勢的登入方式。我們在上面 2. form 登入的流程 中的 使用者 和 判定 之間增加一個介面卡來適配即可。 我們知道這個所謂的 判定就是 UsernamePasswordAuthenticationFilter 。

我們只需要保證 uri 為上面配置的/process 並且能夠通過 getParameter(String name) 獲取使用者名稱和密碼即可 。

我突然覺得可以模仿 DelegatingPasswordEncoder 的搞法， 維護一個登錄檔執行不同的處理策略。當然我們要實現一個 GenericFilterBean 在 UsernamePasswordAuthenticationFilter 之前執行。同時制定登入的策略。

6.1 登入方式定義

定義登入方式列舉 ``。

  public enum LoginTypeEnum {

    /**
    * 原始登入方式.
    */
    FORM,/**
    * Json 提交.
    */
    JSON,/**
    * 驗證碼.
    */
    CAPTCHA
  }

6.2 定義前置處理器介面

  public interface LoginPostProcessor {

    /**
    * 獲取 登入型別
    *
    * @return the type
    */
    LoginTypeEnum getLoginTypeEnum();

    /**
    * 獲取使用者名稱
    *
    * @param request the request
    * @return the string
    */
    String obtainUsername(ServletRequest request);

    /**
    * 獲取密碼
    *
    * @param request the request
    * @return the string
    */
    String obtainPassword(ServletRequest request);

  }

6.3 實現登入前置處理過濾器

該過濾器維護了 LoginPostProcessor 對映表。 通過前端來判定登入方式進行策略上的預處理，最終還是會交給

 package cn.felord.spring.security.filter;

 import cn.felord.spring.security.enumation.LoginTypeEnum;
 import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
 import org.springframework.security.web.util.matcher.RequestMatcher;
 import org.springframework.util.Assert;
 import org.springframework.util.CollectionUtils;
 import org.springframework.web.filter.GenericFilterBean;

 import javax.servlet.FilterChain;
 import javax.servlet.ServletException;
 import javax.servlet.ServletRequest;
 import javax.servlet.ServletResponse;
 import javax.servlet.http.HttpServletRequest;
 import java.io.IOException;
 import java.util.Collection;
 import java.util.HashMap;
 import java.util.Map;

 import static org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter.SPRING_SECURITY_FORM_PASSWORD_KEY;
 import static org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter.SPRING_SECURITY_FORM_USERNAME_KEY;

 /**
  * 預登入控制器
  *
  * @author Felordcn
  * @since 16 :21 2019/10/17
  */
 public class PreLoginFilter extends GenericFilterBean {

   private static final String LOGIN_TYPE_KEY = "login_type";

   private RequestMatcher requiresAuthenticationRequestMatcher;
   private Map<LoginTypeEnum,LoginPostProcessor> processors = new HashMap<>();

   public PreLoginFilter(String loginProcessingUrl,Collection<LoginPostProcessor> loginPostProcessors) {
     Assert.notNull(loginProcessingUrl,"loginProcessingUrl must not be null");
     requiresAuthenticationRequestMatcher = new AntPathRequestMatcher(loginProcessingUrl,"POST");
     LoginPostProcessor loginPostProcessor = defaultLoginPostProcessor();
     processors.put(loginPostProcessor.getLoginTypeEnum(),loginPostProcessor);

     if (!CollectionUtils.isEmpty(loginPostProcessors)) {
       loginPostProcessors.forEach(element -> processors.put(element.getLoginTypeEnum(),element));
     }

   }

   private LoginTypeEnum getTypeFromReq(ServletRequest request) {
     String parameter = request.getParameter(LOGIN_TYPE_KEY);

     int i = Integer.parseInt(parameter);
     LoginTypeEnum[] values = LoginTypeEnum.values();
     return values[i];
   }

   /**
    * 預設還是Form .
    *
    * @return the login post processor
    */
   private LoginPostProcessor defaultLoginPostProcessor() {
     return new LoginPostProcessor() {

       @Override
       public LoginTypeEnum getLoginTypeEnum() {

         return LoginTypeEnum.FORM;
       }

       @Override
       public String obtainUsername(ServletRequest request) {
         return request.getParameter(SPRING_SECURITY_FORM_USERNAME_KEY);
       }

       @Override
       public String obtainPassword(ServletRequest request) {
         return request.getParameter(SPRING_SECURITY_FORM_PASSWORD_KEY);
       }
     };
   }

   @Override
   public void doFilter(ServletRequest request,ServletResponse response,FilterChain chain) throws IOException,ServletException {
     ParameterRequestWrapper parameterRequestWrapper = new ParameterRequestWrapper((HttpServletRequest) request);
     if (requiresAuthenticationRequestMatcher.matches((HttpServletRequest) request)) {

       LoginTypeEnum typeFromReq = getTypeFromReq(request);

       LoginPostProcessor loginPostProcessor = processors.get(typeFromReq);

       String username = loginPostProcessor.obtainUsername(request);

       String password = loginPostProcessor.obtainPassword(request);

       parameterRequestWrapper.setAttribute(SPRING_SECURITY_FORM_USERNAME_KEY,username);
       parameterRequestWrapper.setAttribute(SPRING_SECURITY_FORM_PASSWORD_KEY,password);

     }

     chain.doFilter(parameterRequestWrapper,response);

   }
 }

6.4 驗證

通過 POST 表單提交方式 http://localhost:8080/process?username=Felordcn&password=12345&login_type=0 可以請求成功。或者以下列方式也可以提交成功：

Spring Security自定義登入原理及實現詳解

更多的登入方式 只需要實現介面 LoginPostProcessor 注入 PreLoginFilter

7. 總結

今天我們通過各種技術的運用實現了從簡單登入到可動態擴充套件的多種方式並存的實戰運用。

以上就是本文的全部內容，希望對大家的學習有所幫助，也希望大家多多支援我們。

相關推薦

Spring Security自定義登入原理及實現詳解

1. 前言 前面的關於 Spring Security 相關的文章只是一個預熱。為了接下來更好的實戰，如果你錯過了請從 Spring Security 實戰系列 開始。安全訪問的第一步就是認證（Authentication），認證的第一步就是登入。今天

Spring Security 自定義登入認證（二）

一、前言 本篇文章將講述Spring Security自定義登入認證校驗使用者名稱、密碼，自定義密碼加密方式，以及在前後端分離的情況下認證失敗或成功處理返回json格式資料

Spring IOC和aop的原理及例項詳解

這篇文章主要介紹了Spring IOC和aop的原理及例項詳解,文中通過示例程式碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下

Spring Boot自定義錯誤檢視的方法詳解

Spring Boot預設錯誤檢視解析器 　　Web應用在處理請求的過程中發生錯誤是非常常見的情況，SpringBoot中為我們實現了一個錯誤檢視解析器（DefaultErrorViewResolver）。它基於一些常見的約定，嘗試根據HTTP錯誤狀態碼

Spring security 自定義過濾器實現Json引數傳遞併兼容表單引數(例項程式碼)

依賴 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId>

Spring security自定義使用者認證流程詳解

1.自定義登入頁面 （1）首先在static目錄下面建立login.html 　 注意：springboot專案預設可以訪問resources/resources,resources/staic,resources/public目錄下面的靜態檔案

SpringBoot學習-自定義UsernamePasswordAuthenticationFilter-(Security自定義登入驗證規則)

　　眾所周知SpringBoot-Security可以繼承WebSecurityConfigurerAdapter來進行登入驗證，若我們想自定義登入驗證的規則，則可以編寫一個登入過濾的類通過繼承UsernamePasswordAuthenticationFilter，關於這方面的內容

Vue自定義元件雙向繫結實現原理及方法詳解

前言 無論在任何的語言或框架中，我們都提倡程式碼的複用性。對於Vue來說也是如此，相同的程式碼邏輯會被封裝成元件，除了複用之外，更重要的是統一管理提高開發效率。我真就接手過一個專案，多個頁面都會用到的列表

spring security 自定義登陸介面

技術標籤：spring spring security 自定義登陸介面 1.自定義config並繼承WebSecurityConfigurerAdapter2.登陸介面3.定義controller4.application.properties5.page

spring security 自定義

簡介 狂神spring security教程沒有自定義許可權攔截，本文根據[vhr專案](lenve/vhr: 微人事是一個前後端分離的人力資源管理系統，專案採用SpringBoot+Vue開發。 (github.com))來學習一些自定義的處理。

Spring Security自定義認證器

在瞭解過Security的認證器後，如果想自定義登陸，只要實現AuthenticationProvider還有對應的Authentication就可以了

Spring事務管理原理及方法詳解

這篇文章主要介紹了Spring事務管理原理及方法詳解,文中通過示例程式碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下

Apache Shrio安全框架實現原理及例項詳解

一、Shiro整體概述 1.簡介 Apache Shiro是Java的一個安全框架,功能強大,使用簡單,Shiro為開發人員提供了一個直觀而全面的認證(登入),授權(判斷是否含有許可權),加密(密碼加密)及會話管理(Shiro內建Session)的解決方案

Python opencv相機標定實現原理及步驟詳解

相機標定相機標定的目的 獲取攝像機的內參和外參矩陣（同時也會得到每一幅標定影象的選擇和平移矩陣），內參和外參係數可以對之後相機拍攝的影象就進行矯正，得到畸變相對很小的影象。

Spring Boot 2 實戰：自定義啟動執行邏輯例項詳解

本文例項講述了Spring Boot 2 實戰：自定義啟動執行邏輯。分享給大家供大家參考，具體如下：

Springboot熱部署實現原理及例項詳解

1.前言 在實際開發過程中，每次修改程式碼就得將專案重啟，重新部署，對於一些大型應用來說，重啟時間需要花費大量的時間成本。對於一個後端開發者來說，重啟過程確實很難受啊。在 Java 開發領域，熱部署一直是一個難

基於PHP實現堆排序原理及例項詳解

堆 堆(heap)是電腦科學中一類特殊的資料結構的統稱，通常是一個可以被看做一棵樹的陣列物件。

Jenkin郵件收發實現原理及過程詳解

一、配置 Jenkins 郵箱的全域性配置 檢查是否已安裝外掛Email Extension Plugin 獲取 qq 郵箱授權碼

spring jpa ManyToMany原理及用法詳解

1.java和jpa 中所有的關係都是單向的。這個關係資料庫不同，關係資料庫，通過外來鍵定義並查詢，使得反向查詢總是存在的。

Java web攔截器inteceptor原理及應用詳解

這篇文章主要介紹了java web攔截器inteceptor原理及應用詳解,文中通過示例程式碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下