Spring Security学习（一） Getting Started

其他 2018-09-01 22:11:18 阅读次数: 0

翻译自GETTING STARTED

保护Web应用程序

本指南将引导您完成创建一个资源受Spring Security保护的简单Web应用程序的过程。

你将建立什么

您将构建一个Spring MVC应用程序，该应用程序使用由固定用户列表支持的登录表单来保护页面。

你需要什么

如何完成本指南

与大多数“入门指南”指南一样，您可以从头开始，完成每一步，也可以绕过已经熟悉的基本设置步骤。无论哪种方式，你都会得到工作代码。

To start from scratch, move on to Build with Gradle.

To 跳过基础, do the following:

Download and unzip the source repository for this guide, or clone it using Git:

通过IDE构建

这里官方提供了通过Grandle、Maven、IDE构建，选择性的翻译IDE构建，有需要的看原文吧。

我使用的IDEA，先将源码down下来，用IDEA打开gs-securing-web/initial 目录下，选择pom.xml。

initial

准备工作结束了，开始学习吧O(∩_∩)O~~

创建一个不安全的Web应用程序

在将安全性应用于Web应用程序之前，您需要安装Web应用程序。本节中的步骤将引导您创建一个非常简单的Web应用程序。然后在下一节中使用Spring Security来保护它。

Web应用程序包含两个简单视图：主页和“Hello World”页面。主页定义在以下Thymeleaf模板中：

src/main/resources/templates/home.html
<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org" xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Spring Security Example</title>
    </head>
    <body>
        <h1>Welcome!</h1>

        <p>Click <a th:href="@{/hello}">here</a> to see a greeting.</p>
    </body>
</html>

你可以看到，这个简单的视图包括一个“/ hello”页面的链接。这在以下的Thymeleaf模板中定义：

src/main/resources/templates/hello.html
<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Hello World!</title>
    </head>
    <body>
        <h1>Hello world!</h1>
    </body>
</html>

Web应用程序基于Spring MVC。因此，您需要配置Spring MVC并设置视图控制器来公开这些模板。这是一个用于在应用程序中配置Spring MVC的配置类。

src/main/java/hello/MvcConfig.java
package hello;

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurerAdapter;

@Configuration
public class MvcConfig extends WebMvcConfigurerAdapter {

    @Override
    public void addViewControllers(ViewControllerRegistry registry) {
        registry.addViewController("/home").setViewName("home");
        registry.addViewController("/").setViewName("home");
        registry.addViewController("/hello").setViewName("hello");
        registry.addViewController("/login").setViewName("login");
    }

}

addViewControllers()方法（覆盖WebMvcConfigurerAdapter中相同名称的方法）会添加四个视图控制器。两个视图控制器引用名称为“home”的视图（在home.html中定义），另一个引用名为“hello”的视图（在hello.html中定义）。第四个视图控制器引用另一个名为“login”的视图。您将在下一部分中创建该视图。

此时，您可以跳到使应用程序可执行一节，并试试运行应用程序，无需登录任何内容。

创建基本的简单Web应用程序后，您可以添加安全性。

设置Spring Security

假设您希望防止未经授权的用户在“/hello”上查看问候页面。现在，如果用户点击主页上的链接，他们会看到问候语，没有阻碍他们的障碍。您需要添加一个屏障，强制用户在看到该页面之前登录。

您可以通过在应用程序中配置Spring Security来实现。如果Spring Security位于类路径上，则Spring Boot会自动使用“基本”身份验证来保护所有HTTP端点。但是您可以进一步自定义安全设置。您需要做的第一件事是将Spring Security添加到类路径中。

您可以通过在应用程序中配置Spring Security来实现。如果Spring Security位于类路径上，则Spring Boot会自动使用“基本”身份验证来保护所有HTTP端点。但是您可以进一步自定义安全设置。您需要做的第一件事是将Spring Security添加到类路径中。

使用Gradle的话，这将是依赖中的一行：

build.gradle
dependencies {
    ...
    compile("org.springframework.boot:spring-boot-starter-security")
    ...
}

使用Maven，这将是添加到的额外条目：

pom.xml
<dependencies>
    ...
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
    ...
</dependencies>

这是一种安全配置，可确保只有身份验证的用户才能看到秘密问候语：

src/main/java/hello/WebSecurityConfig.java
package hello;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/", "/home").permitAll()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
                .withUser("user").password("password").roles("USER");
    }
}

WebSecurityConfig类用@EnableWebSecurity注释，以启用Spring Security的Web安全支持，并提供Spring MVC集成。它还扩展了WebSecurityConfigurerAdapter并覆盖了一些方法来设置Web安全配置的一些细节。

configure(HttpSecurity)方法定义哪些URL路径应该被保护，哪些不应该。具体来说，“/”和“/home”路径被配置为不需要任何身份验证。所有其他路径必须经过身份验证。

当用户成功登录时，它们将被重定向到先前请求的需要身份验证的页面。 loginPage()指定了“/login”到一个自定义的页面，每个人都可以查看它。

对于configureGlobal(AuthenticationManagerBuilder)方法，它设置内存中的用户存储使用单个用户。该用户的用户名为“user”，密码为“password”，角色为“USER”。

现在我们需要创建登录页面。已经有“登录”视图的视图控制器，因此您只需要创建登录视图本身：

src/main/resources/templates/login.html
<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Spring Security Example </title>
    </head>
    <body>
        <div th:if="${param.error}">
            Invalid username and password.
        </div>
        <div th:if="${param.logout}">
            You have been logged out.
        </div>
        <form th:action="@{/login}" method="post">
            <div><label> User Name : <input type="text" name="username"/> </label></div>
            <div><label> Password: <input type="password" name="password"/> </label></div>
            <div><input type="submit" value="Sign In"/></div>
        </form>
    </body>
</html>

您可以看到，这个Thymeleaf模板只是提供了一个表单，用于捕获用户名和密码，并将其发布到“/login”。根据配置，Spring Security提供了拦截该请求并验证用户的过滤器。如果用户无法验证，则页面将重定向到“/login?error”，我们的页面显示相应的错误消息。成功注销后，我们的应用程序将发送到“/login?logout”，我们的页面显示相应的成功消息。

最后，我们需要为用户提供一种显示当前用户名和登出的方法。更新hello.html以向当前用户打个招呼，并包含一个“注销”表单，如下所示

src/main/resources/templates/hello.html
<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="http://www.thymeleaf.org"
      xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity3">
    <head>
        <title>Hello World!</title>
    </head>
    <body>
        <h1 th:inline="text">Hello [[${#httpServletRequest.remoteUser}]]!</h1>
        <form th:action="@{/logout}" method="post">
            <input type="submit" value="Sign Out"/>
        </form>
    </body>
</html>

我们使用Spring Security与HttpServletRequest#getRemoteUser()的集成来显示用户名。 “登出”表单提交POST请求到“/logout”。成功注销后，会将用户重定向到“/login?logout”。

使应用程序可执行

虽然可以将此服务打包成传统的Web应用程序存档或WAR文件以部署到外部应用程序服务器，但下面演示的更简单的方法创建了一个独立的应用程序。您可以在一个可执行的JAR文件中打包所有内容，由一个好的Java main（）方法驱动。一路上，您可以使用Spring的支持将Tomcat servlet容器嵌入HTTP运行时，而不是部署到外部实例。

src/main/java/hello/Application.java
package hello;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;

@SpringBootApplication
public class Application {

    public static void main(String[] args) throws Throwable {
        SpringApplication.run(Application.class, args);
    }

}

@SpringBootApplication是一个方便的注释，它添加以下所有内容：

  • @Configuration将该类标记为应用程序上下文的bean定义的源。
  • @EnableAutoConfiguration指示Spring Boot根据类路径设置，其他bean和各种属性设置开始添加bean。
  • 通常，您将为Spring MVC应用程序添加@EnableWebMvc，但是当Spring类在类路径中看到spring-webmvc时，Spring Boot会自动添加它。这将应用程序标记为Web应用程序，并激活诸如设置DispatcherServlet等关键行为。
  • @ComponentScan告诉Spring在hello包中查找其他组件，配置和服务，让它找到控制器。

main()方法使用Spring Boot的SpringApplication.run()方法启动应用程序。你注意到没有一行XML吗？没有web.xml文件。这个Web应用程序是100％纯Java，您无需处理配置任何管道或基础架构。

构建可执行的JAR

您可以使用Gradle或Maven从命令行运行应用程序。或者，您可以构建一个包含所有必需依赖项，类和资源的单个可执行JAR文件，并运行该文件。这使得在整个开发生命周期，跨不同环境等方面，可以轻松地将服务作为应用程序进行发布，版本和部署。

如果您使用Gradle，您可以使用./gradlew bootRun运行应用程序。或者您可以使用./gradlew build构建来构建JAR文件。然后可以运行JAR文件：

java -jar build/libs/gs-securing-web-0.1.0.jar

如果您使用Maven，则可以使用./mvnw spring-boot:run运行应用程序。或者您可以使用./mvnw clean package来构建JAR文件。然后可以运行JAR文件：

java -jar target/gs-securing-web-0.1.0.jar

上面的过程将创建一个可运行的JAR。您也可以选择构建一个经典的WAR文件。

应用程序启动后，将浏览器指向 http://localhost:8080，你应该看到主页：

image

当您点击链接时，它会尝试将您带到/hello 的问候页面。但是因为该页面是安全的，而且您尚未登录，那么您将进入登录页面：

image

如果您使用不安全的版本跳到这里，那么您将看不到此登录页面。请记得备份和编写其余的基于安全的代码。

在登录页面，分别输入用户名和密码字段的“用户”和“密码”作为测试用户登录。提交登录表单后，您将进行身份验证，然后转到问候页面：

image

如果您点击“注销”按钮，您的身份验证将被撤销，并返回到登录页面，并显示一条消息，指示您已注销。

所有指南都将发布ASLv2许可证Attribution, NoDerivatives creative commons license 创作共用许可证的写作。

猜你喜欢

转载自blog.csdn.net/u011730792/article/details/69815530
今日推荐
《美国对全球网络空间安全与发展的威胁和破坏》报告发布
火速冲上 GitHub 热榜 —— 开源编程语言、框架哪有这么可爱？
北京人形机器人创新中心发布全球首个纯电驱拟人奔跑的全尺寸人形机器人“天工”
LFOSSA 源来如此公开课 | 掌握云原生未来：CNCF 认证全面攻略与备考秘籍
国产云输入法——仅华为无云端数据上传安全问题
周排行
Python环境安装与基础语法（1）——计算机基础知识
IMU预积分
ADAS中的LDW、FCW、BSD、LCA、ACC、AEB、APA、DMS代表的含义
B站笔试两道题
skyeye arm 硬件虚拟机环境的搭建
Web前端静态页面示例
数组-合并排序数组 II-简单
springcloud之版本问题启动报错
面向对象-------------匿名对象(六)
输入URL到页面呈现中间发生了什么？
每日归档
更多
2024-04-30(1)
2024-04-29(40)
2024-04-28(0)
2024-04-27(56)
2024-04-26(39)
2024-04-25(22)
2024-04-24(36)
2024-04-23(26)
2024-04-22(39)
2024-04-21(0)

代码天地 © 2018 codetd.com

境外服务器   最新电视剧2022