2. 程式人生 > 程式設計 >Spring security自定義使用者認證流程詳解

Spring security自定義使用者認證流程詳解

阿新 • • 發佈：2020-03-12

1.自定義登入頁面

（1）首先在static目錄下面建立login.html

　 注意：springboot專案預設可以訪問resources/resources,resources/staic,resources/public目錄下面的靜態檔案

<!DOCTYPE html>
<html lang="en">
<head>
  <meta charset="UTF-8">
  <title>登入頁面</title>
</head>
<body>
<form action="/auth/login" method="post">
  使用者名稱:<input type="text" name="username">
  <br/>
  密&emsp;碼:<input type="password" name="password">
  <br/>
  <input type="submit" value="登入">
</form>
</body>
</html>

(2)在spring securiy配置類中做如下配置

@Override
  protected void configure(HttpSecurity http) throws Exception {
    http.formLogin()
        // 指定自定義登入頁面
        .loginPage("/login.html")
        // 登入url
        .loginProcessingUrl("/auth/login")
        .and()
        .authorizeRequests()
        // 新增一個url匹配器，如果匹配到login.html，就授權
        .antMatchers("/login.html").permitAll()
        .anyRequest()
        .authenticated()
        .and()
        // 關閉spring security預設的防csrf攻擊
        .csrf().disable();
  }

(3)測試

略

(4)存在的問題

<1>作為可以複用的登入模組，我們應該提供個性化的登入頁面，也就是說不能寫死只跳轉到login.html。

　　　　此問題比較好解決，使用可配置的登入頁面，預設使用login.html即可。

<2> 請求跳轉到login.html登入頁面，貌似沒有什麼問題，但作為restful風格的介面，一般響應的都是json資料格式，尤其是app請求。

　　　　解決思想：使用者發起資料請求 --> security判斷是否需要身份認證 ----->跳轉到一個自定義的controller方法 ------>在該方法內判斷是否是html發起的請求，如果是，就跳轉到login.html，如果不是，響應一個json格式的資料，說明錯誤資訊。

自定義Controller

@Slf4j
@RestController
public class LoginController {

  /**
   * 請求快取
   */
  private RequestCache requestCache = new HttpSessionRequestCache();

  /**
   * 重定向工具類
   */
  private RedirectStrategy redirectStrategy = new DefaultRedirectStrategy();

  /**
   * 如果配置的登入頁就使用配置的登入面，否則使用預設的登入頁面
   */
//  @Value("${xxxx:defaultLoginPage}")
//  private String standardLoginPage;
  private String standardLoginPage = "/login.html"; // 登入頁

  /**
   * 使用者身份認證方法
   */
  @GetMapping("/user/auth")
  @ResponseStatus(code = HttpStatus.UNAUTHORIZED) // 返回狀態
  public ResponseData login(HttpServletRequest request,HttpServletResponse response) throws IOException {
    SavedRequest savedRequest = requestCache.getRequest(request,response);
    if (savedRequest != null) {
      String targetUrl = savedRequest.getRedirectUrl();
      log.info("請求是：" + targetUrl);
      // 如果請求是以html結尾
      if (StringUtils.endsWithIgnoreCase(targetUrl,".html")) {
        redirectStrategy.sendRedirect(request,response,standardLoginPage);
      }
    }
    return new ResponseData("該請求需要登入,js拿到我的響應資料後，是否需要跳轉到登入頁面你自己看著辦吧？");
  }
}

spring security給該controller的login方法授權

@Override
  protected void configure(HttpSecurity http) throws Exception {
    http.formLogin()
        // 先進controller中去
        .loginPage("/user/auth")
        // 指定自定義登入頁面
        .loginPage("/login.html")
        // 登入url
        .loginProcessingUrl("/auth/login")
        .and()
        .authorizeRequests()
        // 該controller需要授權
        .antMatchers("/user/auth").permitAll()
        // 新增一個url匹配器，如果匹配到login.html，就授權
        .antMatchers("/login.html").permitAll()
        .anyRequest()
        .authenticated()
        .and()
        // 關閉spring security預設的防csrf攻擊
        .csrf().disable();
  }

這樣子就行了！！！　

2. 自定義登入成功處理（返回json）

（1）實現AuthenticationSuccessHandler.java

import com.fasterxml.jackson.databind.ObjectMapper;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.http.MediaType;
import org.springframework.security.core.Authentication;
import org.springframework.security.web.authentication.AuthenticationSuccessHandler;
import org.springframework.stereotype.Component;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
@Slf4j
@Component
public class MyAuthenticationSuccessHandler implements AuthenticationSuccessHandler {
  @Autowired
  private ObjectMapper objectMapper;
  /**
   * Called when a user has been successfully authenticated.
   * @param request
   * @param response
   * @param authentication
   * @throws IOException
   * @throws ServletException
   */
  @Override
  public void onAuthenticationSuccess(HttpServletRequest request,HttpServletResponse response,Authentication authentication) throws IOException,ServletException {
    log.info("登入成功！！！");
    // 將登入成功的資訊寫到前端
    response.setContentType(MediaType.APPLICATION_JSON_VALUE);
    response.getWriter().write(objectMapper.writeValueAsString(authentication));

  }
}

（2）修改security配置類

@Autowired
  private MyAuthenticationSuccessHandler myAuthenticationSuccessHandler;

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.formLogin()
        // 先進controller中去
        .loginPage("/user/auth")
        // 指定自定義登入頁面
        .loginPage("/login.html")
        // 登入url
        .loginProcessingUrl("/auth/login")
        .successHandler(myAuthenticationSuccessHandler)
        .and()
        .authorizeRequests()
        // 該controller需要授權
        .antMatchers("/user/auth").permitAll()
        // 新增一個url匹配器，如果匹配到login.html，就授權
        .antMatchers("/login.html").permitAll()
        .anyRequest()
        .authenticated()
        .and()
        // 關閉spring security預設的防csrf攻擊
        .csrf().disable();
  }

（3）測試

Spring security自定義使用者認證流程詳解

說明：authentication物件中包含的資訊，會因為登入方式的不同而發生改變

3.自定義登入失敗處理(返回json)

　　實現AuthenticationFailureHandler.java介面即可，跟登入成敗處理配置一樣。

4.自定義登入成功處理邏輯

　以上的登入成功或失敗的返回的都是json，但是在某些情況下，就是存在著登入成功或者失敗進行頁面跳轉（spring security預設的處理方式），那麼這種返回json的方式就不合適了。所以，我們應該做得更靈活，做成可配置的。

　對於登入成功邏輯而言只需要對MyAuthenticationSuccessHandler.java稍做修改就行，程式碼如下所示：

/**
 * SavedRequestAwareAuthenticationSuccessHandler spring security 預設的成功處理器
 */
@Slf4j
@Component
public class MyAuthenticationSuccessHandler extends SavedRequestAwareAuthenticationSuccessHandler {
  @Autowired
  private ObjectMapper objectMapper;

  /**
   * 配置的登入方式
   */
//  @Value("${xxx:預設方式}")
  private String loginType = "JSON";
  /**
   * Called when a user has been successfully authenticated.
   */
  @Override
  public void onAuthenticationSuccess(HttpServletRequest request,ServletException {
    log.info("登入成功！！！");

    // 如果配置的登入方式是JSON，就返回json資料
    if ("JSON".equals(loginType)) {
      // 將登入成功的資訊寫到前端
      response.setContentType(MediaType.APPLICATION_JSON_VALUE);
      response.getWriter().write(objectMapper.writeValueAsString(authentication));
    } else { // 否則就使用預設的跳轉方式
      super.onAuthenticationSuccess(request,authentication);
    }
  }
}

5.自定義登入失敗處理邏輯

同登入成功類似，具體程式碼如下：

import com.fasterxml.jackson.databind.ObjectMapper;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.http.HttpStatus;
import org.springframework.http.MediaType;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler;
import org.springframework.stereotype.Component;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
@Slf4j
@Component
public class MySimpleUrlAuthenticationFailureHandler extends SimpleUrlAuthenticationFailureHandler {
  @Autowired
  private ObjectMapper objectMapper;

  /**
   * 配置的登入方式
   */
//  @Value("${xxx:預設方式}")
  private String loginType = "JSON";
  @Override
  public void onAuthenticationFailure(HttpServletRequest request,AuthenticationException exception) throws IOException,ServletException {
    log.info("登入失敗！！！");

    // 如果配置的登入方式是JSON，就返回json資料
    if ("JSON".equals(loginType)) {
      // 將登入成功的資訊寫到前端
      response.setStatus(HttpStatus.UNAUTHORIZED.value());
      response.setContentType(MediaType.APPLICATION_JSON_VALUE);
      response.getWriter().write(objectMapper.writeValueAsString(exception));
    } else { // 否則就使用預設的跳轉方式，跳轉到一個錯誤頁面
      super.onAuthenticationFailure(request,exception);
    }
  }
}
@Autowired
  private MySimpleUrlAuthenticationFailureHandler mySimpleUrlAuthenticationFailureHandler;
  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.formLogin()
        // 先進controller中去
        .loginPage("/user/auth")
        // 指定自定義登入頁面
        .loginPage("/login.html")
        // 登入url
        .loginProcessingUrl("/auth/login")
        .successHandler(myAuthenticationSuccessHandler)
        .failureHandler(mySimpleUrlAuthenticationFailureHandler)
        .and()
        .authorizeRequests()
        // 該controller需要授權
        .antMatchers("/user/auth").permitAll()
        // 新增一個url匹配器，如果匹配到login.html，就授權
        .antMatchers("/login.html").permitAll()
        .anyRequest()
        .authenticated()
        .and()
        // 關閉spring security預設的防csrf攻擊
        .csrf().disable();
  }

以上就是本文的全部內容，希望對大家的學習有所幫助，也希望大家多多支援我們。

相關推薦

Spring security自定義使用者認證流程詳解

1.自定義登入頁面 （1）首先在static目錄下面建立login.html 　 注意：springboot專案預設可以訪問resources/resources,resources/staic,resources/public目錄下面的靜態檔案

Spring Security 自定義登入認證（二）

一、前言 本篇文章將講述Spring Security自定義登入認證校驗使用者名稱、密碼，自定義密碼加密方式，以及在前後端分離的情況下認證失敗或成功處理返回json格式資料

Spring Security自定義登入原理及實現詳解

1. 前言 前面的關於 Spring Security 相關的文章只是一個預熱。為了接下來更好的實戰，如果你錯過了請從 Spring Security 實戰系列 開始。安全訪問的第一步就是認證（Authentication），認證的第一步就是登入。今天

Spring Security自定義認證器

在瞭解過Security的認證器後，如果想自定義登陸，只要實現AuthenticationProvider還有對應的Authentication就可以了

Django 自定義許可權管理系統詳解(通過中介軟體認證)

1. 建立工程檔案， 修改setting.py檔案 django-admin.py startproject project_name 特別是在 windows 上，如果報錯，嘗試用 django-admin 代替 django-admin.py 試試

spring security 自定義登陸介面

技術標籤：spring spring security 自定義登陸介面 1.自定義config並繼承WebSecurityConfigurerAdapter2.登陸介面3.定義controller4.application.properties5.page

Spring security 自定義過濾器實現Json引數傳遞併兼容表單引數(例項程式碼)

依賴 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId>

spring security 自定義

簡介 狂神spring security教程沒有自定義許可權攔截，本文根據[vhr專案](lenve/vhr: 微人事是一個前後端分離的人力資源管理系統，專案採用SpringBoot+Vue開發。 (github.com))來學習一些自定義的處理。

java自定義異常列印內容詳解

本文例項為大家分享了java自定義異常列印內容的具體程式碼，供大家參考，具體內容如下

在MySQL中自定義引數的使用詳解

MySQL變數包括系統變數和系統變數。這次的學習任務是使用者自定義變數。使用者變數主要包括區域性變數和會話變數。

在django中自定義欄位Field詳解

Django的Field類中方法有： to_python() # 把資料庫資料轉成python資料 from_db_value() # 把資料庫資料轉成python資料

Flask 上傳自定義頭像的例項詳解

Flask Web 開發這本書基本上做完了，後面還需要溫習，但是自己做的部落格總覺得簡陋了點，所以，在動腦子開發新功能

SpringBoot Jpa 自定義查詢實現程式碼詳解

這篇文章主要介紹了SpringBoot Jpa 自定義查詢實現程式碼詳解,文中通過示例程式碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下

JDBC自定義連線池過程詳解

這篇文章主要介紹了JDBC自定義連線池過程詳解,文中通過示例程式碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下

python GUI庫圖形介面開發之PyQt5訊號與槽的高階使用技巧(自定義訊號與槽)詳解與例項

PyQt5訊號與槽高階自定義訊號與槽 所謂高階自定義訊號與槽，指的就是我們可以以自己喜歡的方式定義訊號與槽函式，並傳遞引數，自定義訊號的一般流程如下

Android Studio 中aidl的自定義類的使用詳解

自己折騰了好久，記錄一下。 service端： 1：建立類Dog，需要實現Parcelable介面；

Spring Security基於json登入實現過程詳解

主要是重寫attemptAuthentication方法 匯入依賴 <dependency> <groupId>org.springframework.boot</groupId>

Django3中的自定義使用者模型例項詳解

介紹 嗨，在這篇文章中，我們將學習在Django 3中建立自定義使用者模型，並且還將更改Django Admin的預設登入功能。 我們將使用電子郵件和密碼登入。

Spring Security保護使用者密碼常用方法詳解

1. 前言 本節將對 Spring Security 中的密碼編碼進行一些探討。 2. 不推薦使用md5 首先md5 不是加密演算法，是雜湊摘要。以前通常使用其作為密碼雜湊來保護密碼。由於彩虹表的出現，md5 和sha1之類的摘要演算法都已

Python confluent kafka客戶端配置kerberos認證流程詳解

kafka的認證方式一般有如下3種： 1.SASL/GSSAPI 從版本0.9.0.0開始支援 2.SASL/PLAIN 從版本0.10.0.0開始支援