社区 Spring Security 从入门到进阶系列教程
<!-- 整合security-->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
AuthenticationManagerBuilder=WebSecurity@Override
public void configure(WebSecurity web) throws Exception {
// 忽略静态资源的访问
web
.ignoring()
.antMatchers("/resources/**");
}
HttpSecurity http.authorizeRequests().antMatchers()-要验证的请求路径.hasAnyAuthority( )-需要的权限.anyRequest().permitAll()-请他请求无需权限访问@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
.antMatchers( // 要验证权限的请求
"/user/setting",
"/user/upload",
"/discuss/add",
"/comment/add/**",
"/letter/**",
"/notice/**",
"/like",
"/follow",
"/unfollow"
)
.hasAnyAuthority( // 需要的权限
AUTHORITY_ADMIN,
AUTHORITY_MODERATOR,
AUTHORITY_USER
)
.anyRequest().permitAll(); // 请他请求无需权限访问
}
http.exceptionHandling()authenticationEntryPoint-认证没通过参考博客
他所建模的概念是:“认证入口点”。处理用户请求处理过程中遇到认证异常的接口，
被ExceptionTranslationFilter用于开启特定认证方案(authentication schema)的认证流程。
该接口只定义了一个方法 :
@Override
public void commence(HttpServletRequest request, HttpServletResponse response,
AuthenticationException e) throws IOException, ServletException {
}
request是遇到了认证异常authException用户请求，response是将要返回给客户的相应，commence实现,也就是相应的认证方案逻辑会修改response并返回给用户引导用户进入认证流程。处理逻辑：参考之前统一处理异常的逻辑
http.exceptionHandling() // 权限不够去访问出现问题后的处理
// 没有登录的情况
.authenticationEntryPoint(new AuthenticationEntryPoint() {
@Override
public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException e) throws IOException, ServletException {
String xRequestedWith = request.getHeader("x-requested-with"); // 获取请求头参数
if ("XMLHttpRequest".equals(xRequestedWith)) { // 异步请求，向前端用JSON写入错误提示信息
response.setContentType("application/plain;charset=utf-8"); // 设置格式：普通字符串
PrintWriter writer = response.getWriter();
writer.write(CommunityUtil.getJSONString(403, "您还没有登录哦!"));
} else { // 普通请求-直接重定向到登录页面
response.sendRedirect(request.getContextPath() + "/login");
}
}
})
.accessDeniedHandler-权限不够.accessDeniedHandler(new AccessDeniedHandler() {
// 权限不足的情况
@Override
public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException e) throws IOException, ServletException {
String xRequestedWith = request.getHeader("x-requested-with");
if ("XMLHttpRequest".equals(xRequestedWith)) { // 异步请求
response.setContentType("application/plain;charset=utf-8");
PrintWriter writer = response.getWriter();
writer.write(CommunityUtil.getJSONString(403, "您没有访问此功能的权限!"));
} else { // 普通请求-重定向到指定提示页面
response.sendRedirect(request.getContextPath() + "/denied");
}
}
});
定义提示没有权限访问的网页请求
@RequestMapping(path = "/denied", method = RequestMethod.GET)
public String getDeniedPage() {
return "/error/404";
}
http.logout()-退出设置因为Security是过滤器，会在Controller之前拦截默认的/logout/请求，就不会走自定义的/logout/请求
故，为了处理自定义的退出逻辑，在配置中，将默认的请求路径改了，就不会去拦截/logout/请求
// 退出设置-不走security自定义的退出逻辑，走自定义的退出逻辑
http.logout()
.logoutUrl("/securitylogout");// 覆盖默认设置的/logout路径，走自己定义的退出逻辑
UserDetail、UserDetailsService 接口，不需要Security管理这个主体/**
* 查询指定用户的权限
* @param userId 指定用户id
* @return 权限集合-有可能一个用户有多个权限
*/
public Collection<? extends GrantedAuthority> getAuthorities(int userId) {
User user = this.findUserById(userId); // 用service包装的方法-从redis中查
List<GrantedAuthority> list = new ArrayList<>();
list.add(new GrantedAuthority() {
@Override
public String getAuthority() {
switch (user.getType()) {
case 1:
return AUTHORITY_ADMIN; // 管理员
case 2:
return AUTHORITY_MODERATOR; // 版主
default:
return AUTHORITY_USER; // 普通用户
}
}
});
return list;
}
new UsernamePasswordAuthenticationToken()-存入tokenSecurityContextHolder.setContext()-存入context// 在Controller之前执行
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
logger.debug("preHandle " + handler.toString());
// 1.获取ticket
String ticket = CookieUtil.getValue(request, "ticket");
// 2.根据ticket查询user
if(ticket != null) {
// 向数据库中查询凭证
LoginTicket loginTicket = userService.selectByTicket(ticket);
if(loginTicket != null &&
loginTicket.getStatus() == 0 &&
loginTicket.getExpired().after(new Date())) {
// 有效，就根据凭证找到用户信息
User user = userService.findUserById(loginTicket.getUserId());
// 在本次请求中持有用户信息，在请求结束前一直保存在请求的当前线程容器中
hostHolder.setUsers(user);
// 将认证信息-认证主体及主体的权限在存一份到Security的token中
Authentication authentication = new UsernamePasswordAuthenticationToken
(user, user.getPassword(), userService.getAuthorities(user.getId()));
// 再将认证信息存入SecurityContext中
SecurityContextHolder.setContext(new SecurityContextImpl(authentication));
}
}
return true; // true，表示拦截处理之后继续执行
}
SecurityContextHolder.clearContext()-清理容器请求之后清理
// 在模板视图渲染后处理，一般做清理工作
@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
logger.debug("afterHandle " + handler.toString());
hostHolder.clear();
SecurityContextHolder.clearContext();
}
退出登录后清理
/**
* 退出登录请求
* @param ticket 登录凭证t票
* @return
*/
@RequestMapping(path = "/logout", method = RequestMethod.GET)
public String logout(@CookieValue("ticket") String ticket) {
userService.logout(ticket);
SecurityContextHolder.clearContext();
return "redirect:/login";
}
Web安全攻击XSS与CSRF攻击简述
配置CFRS(盗取cooike中的凭证,模仿你的身份提交表单,盗取你的数据)
普通请求SpringSecurity已经自定义配置好了,异步的需要自己处理
CSRF俗称跨站协议伪造（跨站请求攻击）
过程模拟：
防止攻击策略
<meta> 标签注意：<meta> 标签通常位于<head>区域内。
注意： 元数据通常以 名称/值 对出现。
注意： 如果没有提供 name 属性，那么名称/值对中的名称会采用 http-equiv 属性的值。
<meta> 标签，传入csdf元数据<!-- 访问该页面时，在此生成CSRF令牌，将Security中的元数据的传给页面，以key，value形式-->
<!--csrf的key-->
<meta name="_csrf" th:content="${_csrf.headerName}">
<!--csrf的value-->
<meta name="_csrf_header" th:content="${_csrf.token}">
// 发送AJAX请求之前,将CSRF令牌设置到请求的消息头中.
// 使用JQuery选择器，取指定meta标签中的content属性的值，赋值给变量key，value
var header = $("meta[name='_csrf_header']").attr("content");
var token = $("meta[name='_csrf']").attr("content");
// 在发布异步请求前，先对请求进行设置
$(document).ajaxSend(function (e, xhr, options) {
// xhr为发布异步请求的核心对象，设置请求头的key和value-设置完后可以放到浏览器中
// 发送请求时，会携带这个数据
xhr.setRequestHeader(header, token);
});
.and().csrf().disable()- 关闭csrf功能访问首页，mata标签携带数据
发布异步请求
点赞：
discuss.js关注与取关
profile.js发送私信
letter.htmlletter.js