SpringSecucity入门Demo
Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系统提供声明式的安全访问控制功能，减少了为企业系统安全控制编写大量重复代码的工作。
接下来带着大家一步一步的搭建和使用第一个SpringSecurity项目。
我们需要进行如下的准备工作：
- 拥有maven环境
- 创建一个基于maven 的web项目
引入依赖文件
- 因为Spring Security是配合Spring进行开发的，所以需要引入Spring 的相关jar包，以及Spring Security的jar包。
<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
<modelVersion>4.0.0</modelVersion>
<groupId>cn.rayfoo</groupId>
<artifactId>springSecurity-demo</artifactId>
<version>1.0-SNAPSHOT</version>
<packaging>war</packaging>
<properties>
<spring.version>4.2.4.RELEASE</spring.version>
</properties>
<dependencies>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-core</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-web</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-webmvc</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-context-support</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-test</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework</groupId>
<artifactId>spring-jdbc</artifactId>
<version>${spring.version}</version>
</dependency>
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-web</artifactId>
<version>4.1.0.RELEASE</version>
</dependency>
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-config</artifactId>
<version>4.1.0.RELEASE</version>
</dependency>
<dependency>
<groupId>javax.servlet</groupId>
<artifactId>servlet-api</artifactId>
<version>2.5</version>
<scope>provided</scope>
</dependency>
</dependencies>
<build>
<plugins>
<!-- java编译插件 -->
<plugin>
<groupId>org.apache.maven.plugins</groupId>
<artifactId>maven-compiler-plugin</artifactId>
<version>3.2</version>
<configuration>
<source>1.8</source>
<target>1.8</target>
<encoding>UTF-8</encoding>
</configuration>
</plugin>
<plugin>
<groupId>org.apache.tomcat.maven</groupId>
<artifactId>tomcat7-maven-plugin</artifactId>
<configuration>
<!-- 指定端口 -->
<port>9090</port>
<!-- 请求路径 -->
<path>/</path>
</configuration>
</plugin>
</plugins>
</build>
</project>
配置web.xml
- 使用SpringSecurity需要在web.xml中配置一个过滤器，用于过滤请求的路径。值得一提的是，这个过滤器我们使用的是Spring-web下的一个过滤器代理。将filter-name指定为
springSecurityFilterChain即可自动实现SpringSecurty的拦截功能。 - 于此同时还需要加载SpringSecurity的配置文件。
<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://xmlns.jcp.org/xml/ns/javaee"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_4_0.xsd"
version="4.0">
<context-param>
<param-name>contextConfigLocation</param-name>
<param-value>classpath:spring-security.xml</param-value>
</context-param>
<listener>
<listener-class>
org.springframework.web.context.ContextLoaderListener
</listener-class>
</listener>
<filter>
<filter-name>springSecurityFilterChain</filter-name>
<filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
<filter-name>springSecurityFilterChain</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
</web-app>
配置SpringSecurity配置文件
- 由于在此配置文件中会频繁使用到security:xx</security:xx>，所以在头文件中，可以将默认的标签头指定为security。
<beans:beans xmlns="http://www.springframework.org/schema/security".....></beans:beans>，此时security前缀就可以省略。 <http></http>标签用于创建拦截规则。- use-expressions：是否开启SCEL表达式，默认为true
- 如果开启了SCEL表达式，那么创建access时就不能直接使用字面值了，而是需要使用hasRole("ROLE_USER")
- intercept-url：该子标签用于指定具体的拦截规则
- pattern：该属性用于指定拦截哪些路径，例如：/img表示拦截/img/xxx请求(如果是/img/xx/xx就不会被拦截啦)，/*表示一级目录的所有，/**则表示拦截所有请求。这一点与web.xml略有不同。
- access：该属性用于指定一个角色名，角色名的定义规范：必须以大写的
ROLE_加下划线开头。
表示由SpringSecurity提供一个登陆页面，用户的账号密码验证成功后自动跳转到index.html。该标签还可以指定自定义的登陆页面，和成功、失败后跳转到哪个页面。
<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">
<!-- 页面拦截规则 -->
<http use-expressions="false">
<intercept-url pattern="/**" access="ROLE_USER" />
<form-login/>
</http>
<!-- 认证管理器 -->
<authentication-manager>
<!-- 认证提供者 -->
<authentication-provider>
<user-service>
<user name="admin" password="admin" authorities="ROLE_USER"/>
<user name="root" password="root" authorities="ROLE_USER"/>
</user-service>
</authentication-provider>
</authentication-manager>
</beans:beans>
此时，启动项目发送任意请求都会被拦截，并且重定向到SpringSecurity提供的登录页上，当登陆成功后会自动跳转到index.html。
自定义登陆页面
由于官方提供的登陆页面只适用于测试环境，生产环节中我们都会使用自定义的登陆页面，那么如何指定登陆页面呢？
-
首先我们需要先准备好登陆页面。登陆页面的表单需要提供
username和password两个name值，这两个name对应的值会被springSerurity获取并于其中配置的<user name="admin" password="admin" authorities="ROLE_USER"/>进行匹配，如果完全一致则登陆成功，反之登陆失败。 -
由于上面我们拦截的时/**，在使用自定义登陆页面的时候必须放行相关资源和页面（登陆页面、以及其他不登陆即可访问的页面），否则会出现访问login.html被拦截，重定向到/login.html又被拦截。。。。。导致请求过多无法访问的情况。
-
配置资源放行，添加一个http标签，指定pattern和security为none即可放行相关页面。
<http pattern="/login.html" security="none"></http>
<http pattern="/login_error_page.html" security="none"></http>
<http pattern="/css/**" security="none"></http>
<http pattern="/js/**" security="none"></http>
- 解决跨域问题
- 由于SpringSecurity默认支持的时JSP文件，它提交表单时，会提供一个请求头信息
X-CSRF-TOKEN。这个请求头可以防止跨站请求伪造，俗称“跨域”。 - 所以我们使用html页面的时候为了解决这个跨域问题。我们需要关闭SpringSecurity的放跨域保护。
- 该标签必须配置在
<http use-expressions="false">中。
- 由于SpringSecurity默认支持的时JSP文件，它提交表单时，会提供一个请求头信息
<csrf disable="true"/>
- 配置自定义登陆页面
-
login-page：表示用户的登陆页面
-
default-target-url：表示用户登陆成功后跳转到的页面
-
authentication-failure-url：表示登陆失败后显示的页面
-
需要注意的是，springSecurit至支持post请求的提交。get请求会发生异常
-
如果访问一个页面，但是没有登陆，那么登陆成功之后会默认跳转到登陆前访问的页面，那么能不能实现：无论登陆之前访问的是什么页面，登陆成功后都访问default-target-url吗？当然是可以的。设置form-login的alwys-use-default-target为true即可。
-
在http标签中添加子标签可以实现对iframe的支持。
-
-
在http标签中加入
<loginout/>会自动生成一个/login的接口，访问该接口就会实现退出的功能，用户的session会被自动清空。- logout-url默认为/logout，如果需要自定义可以在此处修改
-
logout-success-url访问logout.html可以设置退出登陆后访问的页面
-
<!-- 页面拦截规则 -->
<http use-expressions="false">
<intercept-url pattern="/**" access="ROLE_USER" />
<form-login login-page = "/login.html" default-target-url = "/index.html" authentication-failure-url = "/login_error_page.html"/>
<csrf disable="true"/>
<loginout logout-url="/logout" logout-success-url="/login.html"/>
</http>
获取登录名
创建一个/login/name访问接口，在其方法体内使用SecurityContextHolder.getContext() .getAuthentication().getName();即可获取登录名，如果不需要登录名，而是nickName则可以通过这个username去数据库中找到对应的nickName放入map中即可。
import java.util.HashMap;
import java.util.Map;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
@RequestMapping("/login")
public class LoginController {
@RequestMapping("name")
public Map name(){
String name=SecurityContextHolder.getContext()
.getAuthentication().getName();
Map map=new HashMap();
map.put("loginName", name);
return map ;
}
}
自定义登陆认证以及密码加密，我们下一篇再见~