2. 程式人生 > >spring secrity 登出做一些操作

spring secrity 登出做一些操作

阿新 • • 發佈：2019-01-14

今天 專案需要使用者退出的時候記錄登出日誌，修改使用者的登入狀態


<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
	xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
	xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.0.xsd  
                        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.2.xsd">


	<global-method-security pre-post-annotations="enabled" />
	<!-- HTTP安全配置 -->
	<http auto-config="false" entry-point-ref="authenticationEntryPoint"  access-denied-page="/denied.html">
		<intercept-url pattern="/login.html" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
		<intercept-url pattern="/index.html" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
		<intercept-url pattern="/m/**" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
		<intercept-url pattern="/commons/**" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
		<intercept-url pattern="/upload/**" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
        <intercept-url pattern="/cms/**" access="ROLE_USER"/>
       <!--  <intercept-url pattern="/adminIndex.html" access="ROLE_USER"/> -->
        <intercept-url pattern="/pages/*.html" access="ROLE_USER"/>
       <!--  logout-success-url="/login.html" -->
        <logout logout-url="/j_spring_security_logout" invalidate-session="true" 
            delete-cookies="JSESSIONID" success-handler-ref="myLogoutSuccessHandler"/>
        
        <custom-filter ref="corsFilter" after="PRE_AUTH_FILTER"/>
		<custom-filter ref="myLoginFilter" position="FORM_LOGIN_FILTER" />
		<custom-filter ref="mySecurityFilter" before="FILTER_SECURITY_INTERCEPTOR" />
	</http>
	
	<beans:bean id="corsFilter" class="com.threeti.danfoss.base.filter.SecurityCorsFilter" />
	
	<beans:bean id="sas"
		class="org.springframework.security.web.authentication.session.ConcurrentSessionControlStrategy">
		<beans:property name="maximumSessions" value="1"></beans:property>
		<beans:property name="exceptionIfMaximumExceeded"
			value="true"></beans:property>
		<beans:constructor-arg name="sessionRegistry"
			ref="sessionRegistry"></beans:constructor-arg>
	</beans:bean>
	
	<beans:bean id="sessionRegistry"
		class="org.springframework.security.core.session.SessionRegistryImpl"></beans:bean>

	<beans:bean id="myLoginFilter"
		class="com.threeti.danfoss.base.filter.MyUsernamePasswordAuthenticationFilter">
		<beans:property name="authenticationManager" ref="myAuthenticationManager"/>  
        <beans:property name="authenticationFailureHandler" ref="failureHandler"/>  
        <beans:property name="authenticationSuccessHandler" ref="successHandler"/>  
		<beans:property name="sessionAuthenticationStrategy"
			ref="sas"></beans:property>
	</beans:bean>

	
	  
    <beans:bean id="successHandler" class="com.threeti.danfoss.base.handler.MyAuthenticationSuccessHandler">  
        <beans:property name="defaultTargetUrl" value="/pages/menu.html#current/wind/surface/level/anim=off/overlay=misery_index/orthographic=39.08,42.42,294/loc=96.475,39.357" />  
    </beans:bean>  
   
    <beans:bean id="failureHandler" class="com.threeti.danfoss.base.handler.MySimpleUrlAuthenticationFailureHandler">  
        <beans:property name="defaultFailureUrl" value="/index.html"/>  
    </beans:bean> 
    
    <beans:bean id="myLogoutSuccessHandler" class="com.threeti.danfoss.base.handler.MyLogoutSuccessHandler">
       	<beans:property name="defaultTargetUrl" value="/login.html"/>
       	<!-- 下面的 是通過在url引數進行跳轉 -->
       	<!-- <property name="targetUrlParameter" value="target-url"/>
      	<property 
 
name="redirectStrategy" ref="safeRedirectStrategy"/> -->
    </beans:bean> 
    <!-- 安全的RedirectStrategy，主要是判斷跳轉地址是否在白名單中    public class SafeRedirectStrategy implements RedirectStrategy -->
    <!-- <beans:bean id="safeRedirectStrategy" class="com.snsxiu.job.web.security.SafeRedirectStrategy"/> -->
    
	<!-- 1.URL過濾器或方法攔截器：用來攔截URL或者方法資源對其進行驗證，其抽象基類為AbstractSecurityInterceptor 
		2.資源許可權獲取器：用來取得訪問某個URL或者方法所需要的許可權，介面為SecurityMetadataSource 3.訪問決策器：用來決定使用者是否擁有訪問許可權的關鍵類，其介面為AccessDecisionManager 
		呼叫順序為：AbstractSecurityInterceptor呼叫SecurityMetadataSource取得資源的所有可訪問許可權， 然後再呼叫AccessDecisionManager來實現決策，確定使用者是否有許可權訪問該資源。 -->
	<!-- 自定義的filter, 必須包含authenticationManager, accessDecisionManager, securityMetadataSource三個屬性 -->
	<beans:bean id="mySecurityFilter" class="com.threeti.danfoss.base.security.XaFilterSecurityInterceptor">
		<beans:property name="authenticationManager" ref="myAuthenticationManager" />
		<beans:property name="accessDecisionManager" ref="myAccessDecisionManager" />
		<beans:property name="securityMetadataSource" ref="mySecurityMetadataSource" />
	</beans:bean>

	<!-- 取HTTP配置中的authenticationManager 設定alias別名 -->
	<authentication-manager alias="myAuthenticationManager">
		<authentication-provider user-service-ref="userDetailsManager">
            <password-encoder hash="md5"/>
		</authentication-provider>
	</authentication-manager>
	

	<!-- 使用者詳細資訊管理：資料來源、使用者快取（通過資料庫管理使用者、角色、許可權、資源） -->
	<beans:bean id="userDetailsManager" class="com.threeti.danfoss.base.security.XaUserDetailsService">
	</beans:bean>


	<!-- 訪問決策器，決定某個使用者具有的角色，是否有足夠的許可權去訪問某個資源。 -->
	<beans:bean id="myAccessDecisionManager"
		class="com.threeti.danfoss.base.security.XaAccessDecisionManagerService" />


	<!-- 資源源資料定義，將所有的資源和許可權對應關係建立起來，即定義某一資源可以被哪些角色去訪問。 -->
	<beans:bean id="mySecurityMetadataSource" init-method="loadResourceDefine"
		class="com.threeti.danfoss.base.security.XaSecurityMetadataSourceService">
	</beans:bean>
	
		<beans:bean id="authenticationEntryPoint"
		class="org.springframework.security.web.authentication.LoginUrlAuthenticationEntryPoint">
		<beans:property name="loginFormUrl" value="/login.html" />
	</beans:bean>

</beans:beans>

java 程式碼


package com.threeti.danfoss.base.handler;


import java.io.IOException;


import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;


import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.Authentication;
import org.springframework.security.web.authentication.logout.LogoutSuccessHandler;
import org.springframework.security.web.authentication.logout.SimpleUrlLogoutSuccessHandler;


import com.threeti.danfoss.base.constant.XaConstant;
import com.threeti.danfoss.base.entity.XaCmsUser;
import com.threeti.danfoss.base.repository.XaCmsUserRepository;
import com.threeti.danfoss.base.security.XaUserDetails;


public class MyLogoutSuccessHandler extends SimpleUrlLogoutSuccessHandler 
 

implements LogoutSuccessHandler{
@Autowired
private XaCmsUserRepository xaCmsUserRepository;

@Override
public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication)
throws IOException, ServletException {
XaUserDetails user = (XaUserDetails) authentication.getPrincipal();

XaCmsUser u = 
xaCmsUserRepository.findByUserName(user.getUsername(),XaConstant.Status.valid);
u.setOnline(0);
xaCmsUserRepository.save(u);
super.onLogoutSuccess(request, response, authentication);
}


}



還有另外一種方式：下面的就是複製前面的東西。沒有進行測試，先記錄下來，有空進行測試：

這裡是前輩的文章地址：http://www.111cn.net/jsp/J2ME/60099.htm

spring security的form-login提供了default-target-url作為登入成功後的跳轉地址，唯獨沒有允許傳遞一個redirectUrl引數來作為成功後的跳轉地址。
同樣的logout標籤提供了logout-success-url作為退出成功後的跳轉地址，也沒有提供允許傳遞redirectUrl引數來進行跳轉。
本來打算自己實現和AdminAuthSuccessHandler和LogoutSuccessHandler來接收redirectUrl引數進行跳轉的，結果檢視spring security的程式碼無意間發現spring security居然提供了targetUrlParameter作為跳轉地址的引數，只是Security Namespace沒有相關的標籤或屬性。於是在讀完跳轉相關的程式碼之後自己寫了以下配置。
注：如果直接允許傳遞redirectUrl作為跳轉地址，會有一定的安全風險。在使用之前，確保redirectUrl可信。下面的這段配置有一定安全隱患。

 程式碼如下 複製程式碼
<sec:http auto-config="true">
    <sec:intercept-url pattern="/admin/login" access="IS_AUTHENTICATED_ANONYMOUSLY"/>
    <sec:form-login login-page="/admin/login" authentication-failure-handler-ref="adminAuthFailureHandler" authentication-success-handler-ref="adminAuthSuccessHandler"/>
    <sec:logout success-handler-ref="adminLogoutSuccessHandler"/>
    <sec:remember-me data-source-ref="jobDataSource"/>
    <sec:session-management>
        <sec:concurrency-control error-if-maximum-exceeded="true" max-sessions="1"/>
    </sec:session-management>
</sec:http>
 
<bean id="adminAuthFailureHandler" class="com.snsxiu.job.handler.AdminAuthFailureHandler">
      <property name="authenticationFailureUrl" value="/admin/login?error=true"/>
</bean>
   
<bean id="adminAuthSuccessHandler" class="org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler">
    <property name="targetUrlParameter" value="target-url"/>
    <property name="defaultTargetUrl" value="/admin/index"/>
</bean>
   
<bean id="adminLogoutSuccessHandler" class="org.springframework.security.web.authentication.logout.SimpleUrlLogoutSuccessHandler">
    <property name="targetUrlParameter" value="target-url"/>
    <property name="defaultTargetUrl" value="/admin/login"/>
</bean>

通過檢視原始碼我們發現，SimpleUrlLogoutSuccessHandler繼續了AbstractAuthenticationTargetUrlRequestHandler，同樣的SavedRequestAwareAuthenticationSuccessHandler也是繼承了AbstractAuthenticationTargetUrlRequestHandler，而在AbstractAuthenticationTargetUrlRequestHandler的handle方法裡，我們發現它是通過determineTargetUrl()方法來決定Redirect地址的。

 程式碼如下 複製程式碼
public class SimpleUrlLogoutSuccessHandler extends AbstractAuthenticationTargetUrlRequestHandler
        implements LogoutSuccessHandler {
 
    public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication)
            throws IOException, ServletException {
        super.handle(request, response, authentication);
    }
 
}

通過分析determineTargetUrl我們得出以下結論：
①如果alwaysUseDefaultTargetUrl為true，則跳轉地址始終為defaultTargetUrl
②如果targetUrlParameter不為null,則從request中targetUrlParameter指定的引數名獲取跳轉地址
③如果useReferer為true，並且前兩步沒有獲取到跳轉地址，則從請求頭中的Referer獲取跳轉地址
④如果以上幾步都為空，則使用設定的defaultTargetUrl作為跳轉地址
⑤defaultTargetUrl的預設值是"/"
 
在最終跳轉時，spring security使用一個RedirectStrategy策略來進行跳轉，一般都是使用DefaultRedirectStrategy來進行跳轉，你也可以實現自己的RedirectStrategy並配置在adminAuthSuccessHandler的bean定義中。
 
在剛開始的時候我們說過“如果直接允許傳遞redirectUrl作為跳轉地址，會有一定的安全風險”。如果別人通過你的login或logout傳遞redirectUrl引數誤導使用者跳到了病毒木馬網站，那這肯定是你的安全做的不夠，為了安全我們，我們需要實現自己的SafeRedirectStrategy，如下所示，在跳轉之前對URL進行了白名單校驗。

 程式碼如下 複製程式碼
/**
 * 安全的RedirectStrategy，主要是判斷跳轉地址是否在白名單中
 * @author guoweiwei [email protected]
 *
 */
public class SafeRedirectStrategy implements RedirectStrategy {
 
    protected final Log logger = LogFactory.getLog(getClass());
 
    private boolean contextRelative;
 
    /**
     * Redirects the response to the supplied URL.
     * <p>
     * If <tt>contextRelative</tt> is set, the redirect value will be the value after the request context path. Note
     * that this will result in the loss of protocol information (HTTP or HTTPS), so will cause problems if a
     * redirect is being performed to change to HTTPS, for example.
     */
    public void sendRedirect(HttpServletRequest request, HttpServletResponse response, String url) throws IOException {
        String redirectUrl = calculateRedirectUrl(request.getContextPath(), url);
         
 
        try {
            if(UrlUtils.isAbsoluteUrl(redirectUrl)){
                        redirectUrl = UrlUtil.buildRedirectLink(redirectUrl, false);
                    }
        } catch (Exception e) {
            throw new IOException("error redirect url", e);
        }
 
         
        redirectUrl = response.encodeRedirectURL(redirectUrl);
 
        if (logger.isDebugEnabled()) {
            logger.debug("Redirecting to '" + redirectUrl + "'");
        }
 
        response.sendRedirect(redirectUrl);
    }
 
    private String calculateRedirectUrl(String contextPath, String url) {
        if (!UrlUtils.isAbsoluteUrl(url)) {
            if (contextRelative) {
                return url;
            } else {
                return contextPath + url;
            }
        }
 
        // Full URL, including http(s)://
 
        if (!contextRelative) {
            return url;
        }
 
        // Calculate the relative URL from the fully qualified URL, minus the scheme and base context.
        url = url.substring(url.indexOf("://") + 3); // strip off scheme
        url = url.substring(url.indexOf(contextPath) + contextPath.length());
 
        if (url.length() > 1 && url.charAt(0) == '/') {
            url = url.substring(1);
        }
 
        return url;
    }
 
    /**
     * If <tt>true</tt>, causes any redirection URLs to be calculated minus the protocol
     * and context path (defaults to <tt>false</tt>).
     */
    public void setContextRelative(boolean useRelativeContext) {
        this.contextRelative = useRelativeContext;
    }
 
}

上面程式碼中UrlUtil為自己實現的一個Url處理工具，buildRedirectLink會對url做白名單校驗。完了別忘了在servlet.xml的bean配置中加入safeRedirectStrategy。如下所示：

 程式碼如下 複製程式碼
<bean id="adminAuthSuccessHandler" class="org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler">
    <property name="targetUrlParameter" value="target-url"/>
    <property name="defaultTargetUrl" value="/admin/index"/>
    <property name="redirectStrategy" ref="safeRedirectStrategy"/>
  </bean>
   
  <bean id="adminLogoutSuccessHandler" class="org.springframework.security.web.authentication.logout.SimpleUrlLogoutSuccessHandler">
      <property name="targetUrlParameter" value="target-url"/>
      <property name="defaultTargetUrl" value="/admin/login"/>
      <property name="redirectStrategy" ref="safeRedirectStrategy"/>
  </bean>
   
  <bean id="safeRedirectStrategy" class="com.snsxiu.job.web.security.SafeRedirectStrategy"/>


相關推薦

spring secrity 登出做一些操作

今天 專案需要使用者退出的時候記錄登出日誌，修改使用者的登入狀態 <?xml version="1.0" encoding="UTF-8"?> <beans:beans xmlns="http://www.springframework.org/schema/se

使用Spring Boot+MyBatis框架做查詢操作

能夠 json對象 ati 表達式 prop 用戶名 1.8 output model 一.在你建立的工程下創建 Module 選擇Spring initializr創建。 二.在Type處選擇: Maven Project(項目的構建工具) 三.創建依賴時勾上web,my

Spring啟動流程（四）之Bean初始化前後的一些操作

【Spring原始碼分析】非懶載入的單例Bean初始化前後的一些操作   再看AbstractApplicationContext的refresh方法中的細節： Spring預設載入的兩個Bean，systemProperties和systemEnvironment，

spring容器初始化bean之後或銷燬bean之前，能做的操作

通過 <bean> 標籤 init-method  初始化bean之後呼叫的方法 destroy-method  銷燬bean之前呼叫的操作方法 <bean id="initQuartzJob" class="com.upinc

Spring Boot應用程式在啟動時執行一些操作的方法

如果想在生成物件時候完成某些初始化操作，而偏偏這些初始化操作又依賴於依賴注入，那麼就無法在建構函式中實現。為此，可以使用@PostConstruct註解一個方法來完成初始化，@PostConstruct註解的方法將會在依賴注入完成後被自動呼叫。 @PostConstruct是spring框架的註

使用js內建物件document對html的標籤做一些動態的操作

<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <ti

使用pydicom讀取dicom檔案，並對檔案做一些簡單操作

#! /usr/bin/python # -*- coding: utf-8 -*- import dicom import pylab ds=dicom.read_file("/home/s/data/LungCancer/CT/benign/contrast/60282

Spring整合Quartz動態定時任務，新增及刪除的一些操作

我是是一個新手，最近公司要用定時任務，才研究了一下。有什麼錯誤的地方，希望多指正。 1、首先需要一個執行的QuartzJob（任務類）實現Job介面 然後重寫execute（），需要執行的具體方法就寫在這裡面。   2、編寫一個QuartzJob（任務類）的實體類Jo

Spring Boot 實用MyBatis做資料庫操作

前言： 本專案基於maven構建，使用mybatis-spring-boot作為spring-boot專案的持久層框架 spring-boot中使用mybatis持久層框架與原spr

Spring使用redis做快取在一個方法上使用註解操作多個快取

我們使用的最基礎的Spring快取註解如下：     @Cacheable   生成快取   一般用在查詢Service介面上     @Cacheable(value={"users"}, key="#user.id", condition="#user.id%2==0

使用osql來處理一些sql指令碼以及做一些其他操作

場景:最近需要往資料庫中匯入一些資料,但是獲得檔案不是bak備份檔案,而是一個sql指令碼檔案,大小為13G,我嘗試用各種編輯器去開啟這個sql指令碼檔案來在sqlserver客戶端執行裡面的資料,但是都提示我檔案過大,無法開啟,而sqlserver2008也不能直接執行s

使用spring-data-redis進行對redis的操作，封裝的一些操作方法

   這個算是工作筆記吧，因為是我的實際工作內容    spring-data-redis api地址  http://docs.spring.io/spring-data/redis/docs/current/api/   依賴maven包(當前spring-data-

——————————JavaScript中，對String字符串的一些操作——————————

repl 字母 第一個字符 mic arr size 位置 str2 str1 —————————————&mdash

FileInfo文件的一些操作代碼

oid 信息 tex text 絕對路徑 inf 大小 文本 program namespace 文本操作_查看文件和文件夾的信息{ class Program { static void Main(string[] args) {

Python學習雜記_2_字符串相關的一些操作

操作 lan put lease float for pan pytho 字符 name=input("Please input your name: ") sex=input("Please input your sex: ") print("Welcom"+name

【筆記】對字符串的一些操作

ear log -s 使用 rep color ace sla 拼接 調整字符串中文本的格式 例如將某log文件中的日期格式‘yyyy-mm-dd‘改為‘mm/dd/yyyy‘， 解決方法：使用正則表達式re.sub方法做字符串替換，利用正則表達式的捕獲組，捕獲每個部分內容

【筆記】對文件的一些操作

使用 簡潔 訪問權限 font 整數 系統調用 nbsp 緩沖區 獲取文件 如何設置文件的緩沖？ 全緩沖：open函數的buffering設置為大於1的整數n，n為緩沖區的大小 行緩沖：open函數的buffering設置為1.一旦輸入‘\n‘就會寫入文件 無緩沖：open

Spring context:property-placeholder 一些坑

div ont spring 原因 log 解決 prop 解決辦法 col 今天在配置多配置文件的時候偶然發現如果我使用 1 <context:property-placeholder location="classpath:filePath.properties

js 的 一些操作。。。

top http function 使用 col logs () error 操作 // 對錯誤圖片進行處理 $("img").error(function() { $(this).attr("src", "http://127.0.0.1:81/

關於easyui checkbox 的一些操作處理

get etc 選中 field ade row 是否 put easyui 1、獲取已勾選的行： var rows = $(‘#datagrid‘).datagrid(‘getChecked‘); 2、判斷checkbox是否全選： var allFlg = $(".da