怎么在Spring中使用Security实现表单登录功能

这篇文章给大家介绍怎么在Spring 中使用Security实现表单登录功能，内容非常详细，感兴趣的小伙伴们可以参考借鉴，希望对大家能有所帮助。

我们提供的服务有：成都网站制作、网站设计、微信公众号开发、网站优化、网站认证、商都ssl等。为1000多家企事业单位解决了网站和推广的问题。提供周到的售前咨询和贴心的售后服务，是有科学管理、有技术的商都网站制作公司

2. Maven 依赖

要将Maven依赖项添加到项目中，请参阅Spring Security with Maven 一文。标准的 spring-security-web 和 spring-security-config 都是必需的。

3. Spring Security Java配置

我们首先创建一个扩展 WebSecurityConfigurerAdapter 的 Spring Security 配置类。通过添加 @EnableWebSecurity ，我们获得了Spring Security和MVC集成支持：

@Configuration
@EnableWebSecurity
public class SecSecurityConfig extends WebSecurityConfigurerAdapter {
  @Override
  protected void configure(final AuthenticationManagerBuilder auth) throws Exception {
    auth.inMemoryAuthentication()
     .withUser("user1").password(passwordEncoder().encode("user1Pass")).roles("USER")
     .and()
     .withUser("user2").password(passwordEncoder().encode("user2Pass")).roles("USER")
     .and()
     .withUser("admin").password(passwordEncoder().encode("adminPass")).roles("ADMIN");
  }
  @Override
  protected void configure(final HttpSecurity http) throws Exception {
    http
     .csrf().disable()
     .authorizeRequests()
     .antMatchers("/admin/**").hasRole("ADMIN")
     .antMatchers("/anonymous*").anonymous()
     .antMatchers("/login*").permitAll()
     .anyRequest().authenticated()
     .and()
     .formLogin()
     .loginPage("/login.html")
     .loginProcessingUrl("/perform_login")
     .defaultSuccessUrl("/homepage.html", true)
     //.failureUrl("/login.html?error=true")
     .failureHandler(authenticationFailureHandler())
     .and()
     .logout()
     .logoutUrl("/perform_logout")
     .deleteCookies("JSESSIONID")
     .logoutSuccessHandler(logoutSuccessHandler());
  }
  @Bean
  public PasswordEncoder passwordEncoder() {
    return new BCryptPasswordEncoder();
  }
}

在此示例中，我们使用内存身份验证并定义了3个用户。

现在来看看我们用来创建表单登录配置的元素。

3.1. authorizeRequests()

我们允许匿名访问*/login*，以便用户可以进行身份验证，同时也是保护其他请求。请注意，*antMatchers()*元素的顺序很重要 - 首先需要填写具体的路径规则，然后是才是大致匹配的规则。

3.2. formLogin()

这有几种方法可以用来配置表单登录的行为：

loginPage() – 自定义登录页面
loginProcessingUrl() – 提交username和password的URL
defaultSuccessUrl() – 登录成功后跳转的URL
failureUrl() – 登录失败后跳转的URL

3.3. Authentication Manager

身份验证提供程序由一个简单的内存实现支持 - InMemoryUserDetailsManager 。当尚不需要完整的持久性机制时，这对于进行快速原型设计很有用。

从Spring 5开始，我们还必须定义密码编码器。在我们的例子中，我们使用了 BCryptPasswordEncoder 。

4. 添加Spring Security到Web应用

要使用上面定义的Spring Security配置，我们需要将其添加到Web应用程序。在这种情况下，我们不需要任何 web.xml ：

public class SpringApplicationInitializer 
 extends AbstractAnnotationConfigDispatcherServletInitializer {
  
  protected Class[] getRootConfigClasses() {
    return new Class[] {SecSecurityConfig.class};
  }
}

注意，如果我们使用Spring Boot应用程序，则不需要此初始化程序。有关如何在Spring Boot中加载安全性配置的更多详细信息，详情参阅 Spring Boot security auto-configuration

5. Spring Security XML配置

我们来看看相应的XML配置。整个项目使用Java配置，因此我们需要通过Java @Configuration 类导入XML配置文件：

@Configuration
@ImportResource({ "classpath:webSecurityConfig.xml" })
public class SecSecurityConfig {
  public SecSecurityConfig() {
   super();
  }
}

以及Spring Security 的XML配置– webSecurityConfig.xml :

6. web.xml

在引入Spring 4之前，我们曾经在 web.xml 中配置Spring Security - 只有一个额外的过滤器添加到 Spring MVC 的web.xml中：

Spring Secured Application
 




  springSecurityFilterChain
  org.springframework.web.filter.DelegatingFilterProxy


  springSecurityFilterChain
  /*

过滤器 - DelegatingFilterProxy - 简单地委托给一个Spring管理的bean - FilterChainProxy-它本身可以从完整的Spring bean生命周期管理中受益。

7. Login Form

登录表单页面使用简单的机制将视图名称映射到URL 向Spring MVC注册，且无需编写Controller：

registry.addViewController("/login.html");

对应于 login.jsp ：

Spring Login form包含以下相关组件：

login - 接受表单POST的URL，触发身份验证过程
username - 用户名
password - 密码

8.进一步配置Spring登录

当我们在上面介绍Spring安全配置时，我们简要讨论了一些登录机制的配置 - 现在详细介绍一下。

覆盖Spring Security中大多数默认值的一个原因是隐藏应用程序受Spring Security保护的事实，并最大限度地减少潜在攻击者对应用程序的了解。

完全配置后，login元素如下所示：

@Override
protected void configure(HttpSecurity http) throws Exception {
  http.formLogin()
   .loginPage("/login.html")
   .loginProcessingUrl("/perform_login")
   .defaultSuccessUrl("/homepage.html",true)
   .failureUrl("/login.html?error=true")
}

或者相应的XML配置：

8.1. 登录页

接下来，让我们看看如何使用*loginPage()*方法配置自定义登录页面：

http.formLogin() .loginPage("/login.html")

或者，使用XML配置：

login-page='/login.html'

如果我们不指定这个，Spring Security将在*/login*上生成一个非常基本的登录表单。

8.2. 登录的POST URL

触发身份验证默认的URL是*/login*，我们可以使用 loginProcessingUrl 方法来覆盖此URL：

http.formLogin()
 .loginProcessingUrl("/perform_login")

或者，使用XML配置:

login-processing-url="/perform_login"

覆盖此默认URL的一个很好的理由是：隐藏应用程序受 Spring Security 保护的事实 - 该信息不应在外部提供。

8.3. 登录成功页面

成功登录过程后，用户将被重定向到页面 - 默认情况下，该页面是Web应用程序的根目录。

我们可以通过*defaultSuccessUrl()*方法覆盖它：

http.formLogin()
 .defaultSuccessUrl("/homepage.html")

或者，使用XML配置：

default-target-url="/homepage.html"

如果 always-use-default-target 设置为 true ，则用户始终会重定向到此页面。如果该属性设置为 false ，则在提示进行身份验证之前，用户将被重定向到他们想要访问的上一页。

8.4. 登录失败页面

与登录页面相同，默认情况下， Spring Security 会在*/login?error*自动生成登录失败页面。

要覆盖它，我们可以使用*failureUrl()*方法：

http.formLogin()
 .failureUrl("/login.html?error=true")

或者XML:

authentication-failure-url="/login.html?error=true"

关于怎么在Spring 中使用Security实现表单登录功能就分享到这里了，希望以上内容可以对大家有一定的帮助，可以学到更多知识。如果觉得文章不错，可以把它分享出去让更多的人看到。

文章标题：怎么在Spring中使用Security实现表单登录功能
标题URL：http://cdiso.cn/article/iegcsg.html

怎么在Spring中使用Security实现表单登录功能

Login

其他资讯