2. 程式人生 > >Spring Security教程(六)：自定義過濾器進行認證處理

Spring Security教程(六)：自定義過濾器進行認證處理

阿新 • • 發佈：2018-11-20

這裡接著上篇的自定義過濾器，這裡主要的是配置自定義認證處理的過濾器，並加入到FilterChain的過程。

在我們自己不在xml做特殊的配置情況下，security預設的做認證處理的過濾器為UsernamePasswordAuthenticationFilter，通過檢視原始碼知道，做認證處理的方法為attemptAuthentication，這個方法的主要作用就是將使用者輸入的賬號和密碼，封裝成一個UsernamePasswordAuthenticationToken物件，然後通過setDetails方法將這個物件儲存起來，然後呼叫this.getAuthenticationManager().authenticate(authRequest)方法返回一個Authentication物件。其中這個過程this.getAuthenticationManager().authenticate(authRequest)又呼叫的其他的許多類，這裡簡單的講解下：

UsernamePasswordAuthenticationFilter-->ProviderManager-->AbstractUserDetailsAuthenticationProvider-->DaoAuthenticationProvider-->JdbcDaoImpl

根據這個順序我畫了個圖方便記憶


當輸入使用者名稱和密碼後，點選登陸到達UsernamePasswordAuthenticationFilter的attemptAuthentication方法，這個方法是登陸的入口，然後其呼叫ProviderManager中的authenticate方法，而ProviderManager委託給AbstractUserDetailsAuthenticationProvider的authenticate做，然後AbstractUserDetailsAuthenticationProvider又呼叫DaoAuthenticationProvider中的retrieveUser，在DaoAuthenticationProvider類的retrieveUser方法中，因為要通過輸入的使用者名稱獲取到一個UserDetails，所以其呼叫JdbcDaoImpl中的loadUserByUsername方法，該方法給它的呼叫者返回一個查詢到的使用者（UserDetails），最終AbstractUserDetailsAuthenticationProvider的authenticate方法中會得到一個UserDetails物件user，然後接著執行preAuthenticationChecks.check(user)和additionalAuthenticationChecks(user, (UsernamePasswordAuthenticationToken) authentication);其中前面這個方法是判斷，查詢的使用者是否可用或被鎖等，後面的則是判斷查詢到的user物件的密碼是否和authentication（這個物件其實就是儲存使用者輸入的使用者名稱和密碼）的密碼一樣，若一樣則表示登陸成功，若錯誤，則throw new BadCredentialsException(messages.getMessage("AbstractUserDetailsAuthenticationProvider.badCredentials", "Bad credentials"), userDetails);Bad credentials這個訊息就是登陸失敗後的資訊。初步的講解了登陸過程中類的呼叫，那麼下面這個例子就是自定義一個MyUsernamePasswordAuthenticationFilter來代替預設的  UsernamePasswordAuthenticationFilter。

一、自定義MyUsernamePasswordAuthenticationFilter

這個類可以繼承UsernamePasswordAuthenticationFilter，然後重寫attemptAuthentication方法，這個方法是登陸的入口方法。 
package com.zmc.demo;
 
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import javax.servlet.http.HttpSession;
 

 
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.AuthenticationServiceException;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.jdbc.JdbcDaoImpl;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
import org.springframework.util.StringUtils;
 
 
/**
 * @classname MyUsernamePasswordAuthenticationFilter
 * @author ZMC
 * @time 2017-1-13
 * 
 */
public class MyUsernamePasswordAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
 
    public static final String USERNAME = "j_username";
    public static final String PASSWORD = "j_password";
    /**
     * @Description:使用者登入驗證方法入口
     * @param :args
     * @return
     * @throws Exception
     */
    @Override
    public Authentication attemptAuthentication(HttpServletRequest request,
            HttpServletResponse response) throws AuthenticationException {
 
        if (!request.getMethod().equals("POST")) {
            throw new AuthenticationServiceException(
                    "Authentication method not supported: "
                            + request.getMethod());
        }
        String username = this.obtainUsername(request);
        String password = this.obtainPassword(request);
        // 加密密碼(根據“密碼{使用者名稱})進行加密
        // String sh1Password = password + "{" + username + "}";
        // PasswordEncoder passwordEncoder = new
        // StandardPasswordEncoderForSha1();
        // String result = passwordEncoder.encode(sh1Password);
        // UserInfo userDetails = (UserInfo)
        // userDetailsService.loadUserByUsername(username);
        if (username == null) {
            username = "";
        }
 
        if (password == null) {
            password = "";
        }
 
        username = username.trim();
 
        UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(
                username, password);
 
        // Allow subclasses to set the "details" property
        setDetails(request, authRequest);
 
        return this.getAuthenticationManager().authenticate(authRequest);
 
    }
 
    
 
    /**
     * @Description:獲取密碼
     * @param :args
     * @return
     * @throws Exception
     */
    @Override
    protected String obtainPassword(HttpServletRequest request) {
        // TODO Auto-generated method stub
        Object obj = request.getParameter(PASSWORD);
        return null == obj ? "" : obj.toString();
    }
 
    /**
     * @Description:獲取使用者名稱
     * @param :args
     * @return
     * @throws Exception
     */
    @Override
    protected String obtainUsername(HttpServletRequest request) {
        // TODO Auto-generated method stub
        Object obj = request.getParameter(USERNAME);
        return null == obj ? "" : obj.toString().trim().toLowerCase();
    }
 
}

上述的程式碼這樣寫其實和預設的UsernamePasswordAuthenticationFilter並沒有什麼區別，但是這裡主要是學會將自定義的Filter加入到security中的FilterChain中去，實際上這個方法中，一般會直接驗證使用者輸入的和通過使用者名稱從資料庫裡面查到的使用者的密碼是否一致，如果不一致，就拋異常，否則繼續向下執行。

二、配置MyUsernamePasswordAuthenticationFilter並將其加入到FilterChain中去

MyUsernamePasswordAuthenticationFilter有filterProcessesUrl屬性為登陸的過濾的地址，authenticationManager為authentication-manager標籤中配置的東西，authenticationSuccessHandler為驗證成功後跳轉的處理器，authenticationFailureHandler為驗證失敗的處理器。另外還要配置一個出登陸引導的處bean：LoginUrlAuthenticationEntryPoint
配置程式碼如下：

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
    xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans
                        http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
                        http://www.springframework.org/schema/context
                        http://www.springframework.org/schema/context/spring-context-3.1.xsd
                        http://www.springframework.org/schema/tx
                        http://www.springframework.org/schema/tx/spring-tx-3.0.xsd
                        http://www.springframework.org/schema/security
                        http://www.springframework.org/schema/security/spring-security.xsd">
    
    <http pattern="/login.jsp" security="none"></http>
    <http auto-config="false" entry-point-ref="loginUrlAuthenticationEntryPoint">
        <!-- <form-login login-page="/login.jsp" default-target-url="/index.jsp"
            authentication-failure-url="/login.jsp?error=true" /> -->
        <logout invalidate-session="true" logout-success-url="/login.jsp"
            logout-url="/j_spring_security_logout" />
        <custom-filter ref="myUsernamePasswordAuthenticationFilter" position="FORM_LOGIN_FILTER" />
        <!-- 通過配置custom-filter來增加過濾器，before="FILTER_SECURITY_INTERCEPTOR"表示在SpringSecurity預設的過濾器之前執行。 -->
        <custom-filter ref="filterSecurityInterceptor" before="FILTER_SECURITY_INTERCEPTOR" />
    </http>
    <beans:bean id="loginUrlAuthenticationEntryPoint"
        class="org.springframework.security.web.authentication.LoginUrlAuthenticationEntryPoint">
        <beans:property name="loginFormUrl" value="/login.jsp" />
    </beans:bean>
    
    <!-- 資料來源 -->
    <beans:bean id="dataSource" class="com.mchange.v2.c3p0.ComboPooledDataSource"
        destroy-method="close">
        <!-- 此為c3p0在spring中直接配置datasource c3p0是一個開源的JDBC連線池 -->
        <beans:property name="driverClass" value="com.mysql.jdbc.Driver" />
        <beans:property name="jdbcUrl"
            value="jdbc:mysql://localhost:3306/springsecuritydemo?useUnicode=true&characterEncoding=UTF-8" />
        <beans:property name="user" value="root" />
        <beans:property name="password" value="" />
        <beans:property name="maxPoolSize" value="50"></beans:property>
        <beans:property name="minPoolSize" value="10"></beans:property>
        <beans:property name="initialPoolSize" value="10"></beans:property>
        <beans:property name="maxIdleTime" value="25000"></beans:property>
        <beans:property name="acquireIncrement" value="1"></beans:property>
        <beans:property name="acquireRetryAttempts" value="30"></beans:property>
        <beans:property name="acquireRetryDelay" value="1000"></beans:property>
        <beans:property name="testConnectionOnCheckin" value="true"></beans:property>
        <beans:property name="idleConnectionTestPeriod" value="18000"></beans:property>
        <beans:property name="checkoutTimeout" value="5000"></beans:property>
        <beans:property name="automaticTestTable" value="t_c3p0"></beans:property>
    </beans:bean>
    
    <beans:bean id="builder" class="com.zmc.demo.JdbcRequestMapBulider"> 
        <beans:property name="dataSource" ref="dataSource" /> 
        <beans:property name="resourceQuery"
        value="select re.res_string,r.name from role r,resc re,resc_role rr where 
        r.id=rr.role_id and re.id=rr.resc_id" /> 
    </beans:bean>
    
    <beans:bean id="myUsernamePasswordAuthenticationFilter"
        class="com.zmc.demo.MyUsernamePasswordAuthenticationFilter
        ">
        <beans:property name="filterProcessesUrl" value="/j_spring_security_check" />
        <beans:property name="authenticationManager" ref="authenticationManager" />
        <beans:property name="authenticationSuccessHandler"
            ref="loginLogAuthenticationSuccessHandler" />
        <beans:property name="authenticationFailureHandler"
            ref="simpleUrlAuthenticationFailureHandler" />
    </beans:bean>
 
    <beans:bean id="loginLogAuthenticationSuccessHandler"
        class="org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler">
        <beans:property name="targetUrlParameter" value="/index.jsp" />
    </beans:bean>
 
    <beans:bean id="simpleUrlAuthenticationFailureHandler"
        class="org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler">
        <beans:property name="defaultFailureUrl" value="/login.jsp" />
    </beans:bean> 
    
    
    <!-- 認證過濾器 -->
    <beans:bean id="filterSecurityInterceptor"
        class="org.springframework.security.web.access.intercept.FilterSecurityInterceptor">
        <!-- 使用者擁有的許可權 -->
        <beans:property name="accessDecisionManager" ref="accessDecisionManager" />
        <!-- 使用者是否擁有所請求資源的許可權 -->
        <beans:property name="authenticationManager" ref="authenticationManager" />
        <!-- 資源與許可權對應關係 -->
        <beans:property name="securityMetadataSource" ref="securityMetadataSource" />
    </beans:bean>
    
    <!-- acl領域模型 -->
    <beans:bean class="com.zmc.demo.MyAccessDecisionManager" id="accessDecisionManager">
    </beans:bean>
    <!--  -->
    <authentication-manager alias="authenticationManager">
        <authentication-provider>
            <jdbc-user-service data-source-ref="dataSource"
                users-by-username-query="select username,password,status as enabled from user where username = ?"
                authorities-by-username-query="select user.username,role.name from user,role,user_role 
                                       where user.id=user_role.user_id and 
                                       user_role.role_id=role.id and user.username=?" />
        </authentication-provider>
    </authentication-manager>
    
    <beans:bean id="securityMetadataSource"
        class="com.zmc.demo.MyFilterInvocationSecurityMetadataSource">
        <beans:property name="builder" ref="builder"></beans:property>
    </beans:bean>
    
</beans:beans>

三、結果

因為處理驗證的過濾器不一樣，其他的和教程五一樣，結果這裡就不展示了，參考前面的教程。

相關推薦

Spring Security教程(六)：自定義過濾器進行認證處理

這裡接著上篇的自定義過濾器，這裡主要的是配置自定義認證處理的過濾器，並加入到FilterChain的過程。 在我們自己不在xml做特殊的配置情況下，security預設的做認證處理的過濾器為UsernamePasswordAuthenticationFilter，通過檢視原始碼知道，做認證處理的方法為att

Spring Security教程(五)：自定義過濾器從資料庫從獲取資源資訊

  在之前的幾篇security教程中，資源和所對應的許可權都是在xml中進行配置的，也就在http標籤中配置intercept-url，試想要是配置的物件不多，那還好，但是平常實際開發中都往往是非常多的資源和許可權對應，而且寫在配置檔案裡面寫改起來還得該原始碼配置檔案，這顯然是不好的。因此接下來

Spring Security教程(四)：自定義登入頁

在前面的例子中，登陸頁面都是用的Spring Security自己提供的，這明顯不符合實際開發場景，同時也沒有退出和登出按鈕，因此在每次測試的時候都要通過關閉瀏覽器來登出達到清除session的效果。 一、自定義頁面 login.jsp: <%@ page language="

spring security起步三：自定義登入配置與form-login屬性詳解

在上一篇部落格spring security起步二：自定義登入頁中我們實現瞭如何自定義登入頁,但是還存在很多問題： 1.spring security如何對登入請求進行攔截 2.登入成功後如何跳轉 3.登入失敗後如何跳轉 form-login屬性詳解

idea+maven + spring security +springmvc入門 （自定義登入頁面），附idea如何建立web專案

第一次使用idea，上午在eclipse中 學習了spring security 入門，下午試試在idea中搭建。 剛開始 我以為 直接將eclipse的 檔案 copy過來就行了，結果發現copy過來以後 各種報錯。 後來把m

如何安裝和配置打印服務器之六：自定義客戶端電腦使用網絡打印機的默認設置

oss strong mode 客戶端 pre 51cto col str 裝配 如何安裝和配置打印服務器之六：自定義客戶端電腦使用網絡打印機的默認設置 ?Lander Zhang 專註外企按需IT基礎架構運維服務，IT Helpdesk 實戰培訓踐行者http://blo

Spring Security教程(一)：初識Spring Security

一、概要 Spring Security，這是一種基於 Spring AOP 和 Servlet 過濾器的安全框架。它提供全面的安全性解決方案，同時在 Web 請求級和方法呼叫級處理身份確認和授權。以下是百科裡對於Spring Security的介紹。 Spring Security是一個能夠為基於Spr

Spring Security教程(七)：RememberMe功能

在之前的教程中一筆帶過式的講了下RememberMe記住密碼的功能，那篇的Remember功能是最簡易的配置，其功能和安全性都不強。這裡就配置下security中RememberMe的各種方式。 一、概述 RememberMe 是指使用者在網站上能夠在 Session 之間記住登入使用者的身份的憑證，通俗

037：自定義過濾器實戰

Django再牛逼，也不可能滿足所有需求，所以自定過濾器成了剛需！！！ 自定義過濾器步驟： 1、在某個APP中，建立一個名叫：templatetags 包（這個包名必須是：templatetags ，不然django找不到）； 2、在templatetags中建立一個py檔案——寫自己的過濾器（即：函式

038：自定義過濾器實戰

自定義時間計算過濾器：  有時候經常會在朋友圈、微博中可以看到一條資訊發表的時間，並不是具體的時間，而是距離現在多久。比如 剛剛 ， 1分鐘前 等。這個功能 DTL 是沒有內建這樣的過濾器的，因此我們可以自定義一個這樣的過濾器。 需求： time距離現在的時間間隔1. 如果時間間隔小於1分鐘以

Lucene4.10使用教程(六)：Lucene的過濾器

package com.johnny.lucene04.advance_search; import java.io.IOException; import org.apache.lucene.index.AtomicReaderContext; import org.apache.lucene.index.

spring security 3 中使用自定義資料庫來設定許可權

參考文件： http://wenku.baidu.com/view/4ec7e324ccbff121dd368364.html 在spring security3中使用自己定義的資料結構來實現許可權設

php基礎知識考察點六：自定義函數及內部函數考察點

內置函數 初始 set turn mic static關鍵字 globals ike php變量 1.變量的作用域和靜態變量 　　函數的參數以及參數的引用傳遞 　　函數的返回值以及引用返回 　　外部文件的導入 　　系統內置函數的考察 　　　變量的作用域也稱為

Spring系列教程六： Spring基於註解的Ioc以及Ioc案例

  學習基於註解的Ioc配置，我們腦海中需要有一個認知，就是註解配置和xml配置實現的功能都是一樣的，都是要降低程式間

Spring系列教程六：AOP詳細講解

AOP 概述 什麼是 AOP AOP：全稱是 Aspect Oriented Programming 即：面向切面程式設計

Spring security筆記4/4: 自定義成功和失敗

自定義成功和失敗 還是在之前示例的基礎上，將認證成功跳轉頁面，修改為認證成功返回資料。 實現步驟 1. 複製上一示例的原始碼

hadoop入門7：自定義GroupingComparator進行分組

摘要： GroupingComparator是在reduce階段分組來使用的，由於reduce階段，如果key相同的一組，只取第一個key作為key，迭代所有的values。 如果reduce的key是自定義的bean，我們只需要bean裡面的某個屬性相同就認為這樣的key

Shiro安全框架第四篇| Shiro自定義Realm進行認證授權

  SHiro自定義Realm 首先在resource下新建user.ini 1[users] 2jiuyue=12345,admin 3[roles] 4admin=user:delete,user:update 然後測試類下新建IniRealmTest測試類,跟前面不

Spring Security教程（10）---- 自定義登入成功後的處理程式及修改預設驗證地址

分享一下我老師大神的人工智慧教程！零基礎，通俗易懂！http://blog.csdn.net/jiangjunshow 也歡迎大家轉載本篇文章。分享知識，造福人民，實現我們中華民族偉大復興！        

spring security 5.x 使用及分析（二：自定義配置—初階）

二、自定義配置（初階）： 自定義的配置，就要修改一些預設配置的資訊，從那開始入手呢？ 1、第一步：建立Spring Security 的Java配置，改配置建立一個名為springSecurityFilterChain的servlet過濾器，它負責應用程式的安