2. 程式人生 > >Spring Security 自定義登入認證（二）

Spring Security 自定義登入認證（二）

阿新 • • 發佈：2019-10-14

一、前言

本篇文章將講述Spring Security自定義登入認證校驗使用者名稱、密碼，自定義密碼加密方式，以及在前後端分離的情況下認證失敗或成功處理返回json格式資料

溫馨小提示：Spring Security中有預設的密碼加密方式以及登入使用者認證校驗，但小編這裡選擇自定義是為了方便以後業務擴充套件，比如系統預設帶一個超級管理員，當認證時識別到是超級管理員賬號登入訪問時給它賦予最高許可權，可以訪問系統所有api介面，或在登入認證成功後存入token以便使用者訪問系統其它介面時通過token認證使用者許可權等

Spring Security入門學習可參考之前文章：

SpringBoot整合Spring Security入門體驗（一）

https://blog.csdn.net/qq_38225558/article/details/101754743

二、Spring Security 自定義登入認證處理

基本環境
  1. spring-boot 2.1.8
  2. mybatis-plus 2.2.0
  3. mysql
  4. maven專案

資料庫使用者資訊表t_sys_user

案例中關於對該t_sys_user使用者表相關的增刪改查程式碼就不貼出來了，如有需要可參考文末提供的案例demo原始碼

1、Security 核心配置類

配置使用者密碼校驗過濾器

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    /**
     * 使用者密碼校驗過濾器
     */
    private final AdminAuthenticationProcessingFilter adminAuthenticationProcessingFilter;

    public SecurityConfig(AdminAuthenticationProcessingFilter adminAuthenticationProcessingFilter) {
        this.adminAuthenticationProcessingFilter = adminAuthenticationProcessingFilter;
    }

    /**
     * 許可權配置
     * @param http
     * @throws Exception
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry registry = http.antMatcher("/**").authorizeRequests();

        // 禁用CSRF 開啟跨域
        http.csrf().disable().cors();

        // 登入處理 - 前後端一體的情況下
//        registry.and().formLogin().loginPage("/login").defaultSuccessUrl("/").permitAll()
//                // 自定義登陸使用者名稱和密碼屬性名，預設為 username和password
//                .usernameParameter("username").passwordParameter("password")
//                // 異常處理
//                .failureUrl("/login/error").permitAll()
//                // 退出登入
//                .and().logout().permitAll();

        // 標識只能在 伺服器本地ip[127.0.0.1或localhost] 訪問`/home`介面，其他ip地址無法訪問
        registry.antMatchers("/home").hasIpAddress("127.0.0.1");
        // 允許匿名的url - 可理解為放行介面 - 多個介面使用,分割
        registry.antMatchers("/login", "/index").permitAll();
        // OPTIONS(選項)：查詢適用於一個特定網址資源的通訊選擇。 在不需執行具體的涉及資料傳輸的動作情況下， 允許客戶端來確定與資源相關的選項以及 / 或者要求， 或是一個伺服器的效能
        registry.antMatchers(HttpMethod.OPTIONS, "/**").denyAll();
        // 自動登入 - cookie儲存方式
        registry.and().rememberMe();
        // 其餘所有請求都需要認證
        registry.anyRequest().authenticated();
        // 防止iframe 造成跨域
        registry.and().headers().frameOptions().disable();

        // 自定義過濾器認證使用者名稱密碼
        http.addFilterAt(adminAuthenticationProcessingFilter, UsernamePasswordAuthenticationFilter.class);
    }
}

2、自定義使用者密碼校驗過濾器

@Slf4j
@Component
public class AdminAuthenticationProcessingFilter extends AbstractAuthenticationProcessingFilter {

    /**
     * @param authenticationManager:             認證管理器
     * @param adminAuthenticationSuccessHandler: 認證成功處理
     * @param adminAuthenticationFailureHandler: 認證失敗處理
     */
    public AdminAuthenticationProcessingFilter(CusAuthenticationManager authenticationManager, AdminAuthenticationSuccessHandler adminAuthenticationSuccessHandler, AdminAuthenticationFailureHandler adminAuthenticationFailureHandler) {
        super(new AntPathRequestMatcher("/login", "POST"));
        this.setAuthenticationManager(authenticationManager);
        this.setAuthenticationSuccessHandler(adminAuthenticationSuccessHandler);
        this.setAuthenticationFailureHandler(adminAuthenticationFailureHandler);
    }

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        if (request.getContentType() == null || !request.getContentType().contains(Constants.REQUEST_HEADERS_CONTENT_TYPE)) {
            throw new AuthenticationServiceException("請求頭型別不支援: " + request.getContentType());
        }

        UsernamePasswordAuthenticationToken authRequest;
        try {
            MultiReadHttpServletRequest wrappedRequest = new MultiReadHttpServletRequest(request);
            // 將前端傳遞的資料轉換成jsonBean資料格式
            User user = JSONObject.parseObject(wrappedRequest.getBodyJsonStrByJson(wrappedRequest), User.class);
            authRequest = new UsernamePasswordAuthenticationToken(user.getUsername(), user.getPassword(), null);
            authRequest.setDetails(authenticationDetailsSource.buildDetails(wrappedRequest));
        } catch (Exception e) {
            throw new AuthenticationServiceException(e.getMessage());
        }
        return this.getAuthenticationManager().authenticate(authRequest);
    }
}

3、自定義認證管理器

@Component
public class CusAuthenticationManager implements AuthenticationManager {

    private final AdminAuthenticationProvider adminAuthenticationProvider;

    public CusAuthenticationManager(AdminAuthenticationProvider adminAuthenticationProvider) {
        this.adminAuthenticationProvider = adminAuthenticationProvider;
    }

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        Authentication result = adminAuthenticationProvider.authenticate(authentication);
        if (Objects.nonNull(result)) {
            return result;
        }
        throw new ProviderNotFoundException("Authentication failed!");
    }
}

4、自定義認證處理

這裡的密碼加密驗證工具類PasswordUtils可在文末原始碼中檢視

@Component
public class AdminAuthenticationProvider implements AuthenticationProvider {

    @Autowired
    UserDetailsServiceImpl userDetailsService;
    @Autowired
    private UserMapper userMapper;

    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        // 獲取前端表單中輸入後返回的使用者名稱、密碼
        String userName = (String) authentication.getPrincipal();
        String password = (String) authentication.getCredentials();

        SecurityUser userInfo = (SecurityUser) userDetailsService.loadUserByUsername(userName);

        boolean isValid = PasswordUtils.isValidPassword(password, userInfo.getPassword(), userInfo.getCurrentUserInfo().getSalt());
        // 驗證密碼
        if (!isValid) {
            throw new BadCredentialsException("密碼錯誤！");
        }

        // 前後端分離情況下 處理邏輯...
        // 更新登入令牌 - 之後訪問系統其它介面直接通過token認證使用者許可權...
        String token = PasswordUtils.encodePassword(System.currentTimeMillis() + userInfo.getCurrentUserInfo().getSalt(), userInfo.getCurrentUserInfo().getSalt());
        User user = userMapper.selectById(userInfo.getCurrentUserInfo().getId());
        user.setToken(token);
        userMapper.updateById(user);
        userInfo.getCurrentUserInfo().setToken(token);
        return new UsernamePasswordAuthenticationToken(userInfo, password, userInfo.getAuthorities());
    }

    @Override
    public boolean supports(Class<?> aClass) {
        return true;
    }
}

其中小編自定義了一個UserDetailsServiceImpl類去實現UserDetailsService類 -> 用於認證使用者詳情
和自定義一個SecurityUser類實現UserDetails類 -> 安全認證使用者詳情資訊

@Service("userDetailsService")
public class UserDetailsServiceImpl implements UserDetailsService {

    @Autowired
    private UserMapper userMapper;

    /***
     * 根據賬號獲取使用者資訊
     * @param username:
     * @return: org.springframework.security.core.userdetails.UserDetails
     */
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 從資料庫中取出使用者資訊
        List<User> userList = userMapper.selectList(new EntityWrapper<User>().eq("username", username));
        User user;
        // 判斷使用者是否存在
        if (!CollectionUtils.isEmpty(userList)){
            user = userList.get(0);
        } else {
            throw new UsernameNotFoundException("使用者名稱不存在！");
        }
        // 返回UserDetails實現類
        return new SecurityUser(user);
    }
}

安全認證使用者詳情資訊

@Data
@Slf4j
public class SecurityUser implements UserDetails {
    /**
     * 當前登入使用者
     */
    private transient User currentUserInfo;

    public SecurityUser() {
    }

    public SecurityUser(User user) {
        if (user != null) {
            this.currentUserInfo = user;
        }
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        Collection<GrantedAuthority> authorities = new ArrayList<>();
        SimpleGrantedAuthority authority = new SimpleGrantedAuthority("admin");
        authorities.add(authority);
        return authorities;
    }

    @Override
    public String getPassword() {
        return currentUserInfo.getPassword();
    }

    @Override
    public String getUsername() {
        return currentUserInfo.getUsername();
    }

    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }
}

5、自定義認證成功或失敗處理方式

  1. 認證成功處理類實現AuthenticationSuccessHandler類重寫onAuthenticationSuccess方法
  2. 認證失敗處理類實現AuthenticationFailureHandler類重寫onAuthenticationFailure方法

在前後端分離情況下小編認證成功和失敗都返回json資料格式

認證成功後這裡小編只返回了一個token給前端，其它資訊可根據個人業務實際處理

@Component
public class AdminAuthenticationSuccessHandler implements AuthenticationSuccessHandler {
    @Override
    public void onAuthenticationSuccess(HttpServletRequest httpServletRequest, HttpServletResponse response, Authentication auth) throws IOException, ServletException {
        User user = new User();
        SecurityUser securityUser = ((SecurityUser) auth.getPrincipal());
        user.setToken(securityUser.getCurrentUserInfo().getToken());
        ResponseUtils.out(response, ApiResult.ok("登入成功!", user));
    }
}

認證失敗捕捉異常自定義錯誤資訊返回給前端

@Slf4j
@Component
public class AdminAuthenticationFailureHandler implements AuthenticationFailureHandler {
    @Override
    public void onAuthenticationFailure(HttpServletRequest httpServletRequest, HttpServletResponse response, AuthenticationException e) throws IOException, ServletException {
        ApiResult result;
        if (e instanceof UsernameNotFoundException || e instanceof BadCredentialsException) {
            result = ApiResult.fail(e.getMessage());
        } else if (e instanceof LockedException) {
            result = ApiResult.fail("賬戶被鎖定，請聯絡管理員!");
        } else if (e instanceof CredentialsExpiredException) {
            result = ApiResult.fail("證書過期，請聯絡管理員!");
        } else if (e instanceof AccountExpiredException) {
            result = ApiResult.fail("賬戶過期，請聯絡管理員!");
        } else if (e instanceof DisabledException) {
            result = ApiResult.fail("賬戶被禁用，請聯絡管理員!");
        } else {
            log.error("登入失敗：", e);
            result = ApiResult.fail("登入失敗!");
        }
        ResponseUtils.out(response, result);
    }
}
溫馨小提示：

前後端一體的情況下可通過在Spring Security核心配置類中配置異常處理介面然後通過如下方式獲取異常資訊

AuthenticationException e = (AuthenticationException) request.getSession().getAttribute("SPRING_SECURITY_LAST_EXCEPTION");
System.out.println(e.getMessage());

三、前端頁面

這裡2個簡單的html頁面模擬前後端分離情況下登陸處理場景

1、登陸頁

login.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Login</title>
</head>
<body>
<h1>Spring Security</h1>
<form method="post" action="" onsubmit="return false">
    <div>
        使用者名稱：<input type="text" name="username" id="username">
    </div>
    <div>
        密碼：<input type="password" name="password" id="password">
    </div>
    <div>
<!--        <label><input type="checkbox" name="remember-me" id="remember-me"/>自動登入</label>-->
        <button onclick="login()">登陸</button>
    </div>
</form>
</body>
<script src="http://libs.baidu.com/jquery/1.9.0/jquery.js" type="text/javascript"></script>
<script type="text/javascript">
    function login() {
        var username = document.getElementById("username").value;
        var password = document.getElementById("password").value;
        // var rememberMe = document.getElementById("remember-me").value;
        $.ajax({
            async: false,
            type: "POST",
            dataType: "json",
            url: '/login',
            contentType: "application/json",
            data: JSON.stringify({
                "username": username,
                "password": password
                // "remember-me": rememberMe
            }),
            success: function (result) {
                console.log(result)
                if (result.code == 200) {
                    alert("登陸成功");
                    window.location.href = "../home.html";
                } else {
                    alert(result.message)
                }
            }
        });
    }
</script>
</html>
2、首頁

home.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h3>您好，登陸成功</h3>
<button onclick="window.location.href='/logout'">退出登入</button>
</body>
</html>

四、測試介面

@Slf4j
@RestController
public class IndexController {

    @GetMapping("/")
    public ModelAndView showHome() {
        return new ModelAndView("home.html");
    }

    @GetMapping("/index")
    public String index() {
        return "Hello World ~";
    }

    @GetMapping("/login")
    public ModelAndView login() {
        return new ModelAndView("login.html");
    }

    @GetMapping("/home")
    public String home() {
        String name = SecurityContextHolder.getContext().getAuthentication().getName();
        log.info("登陸人：" + name);
        return "Hello~ " + name;
    }

    @GetMapping(value ="/admin")
    // 訪問路徑`/admin` 具有`crud`許可權
    @PreAuthorize("hasPermission('/admin','crud')")
    public String admin() {
        return "Hello~ 管理員";
    }

    @GetMapping("/test")
//    @PreAuthorize("hasPermission('/test','t')")
    public String test() {
        return "Hello~ 測試許可權訪問介面";
    }

    /**
     * 登入異常處理 - 前後端一體的情況下
     * @param request
     * @param response
     */
    @RequestMapping("/login/error")
    public void loginError(HttpServletRequest request, HttpServletResponse response) {
        AuthenticationException e = (AuthenticationException) request.getSession().getAttribute("SPRING_SECURITY_LAST_EXCEPTION");
        log.error(e.getMessage());
        ResponseUtils.out(response, ApiResult.fail(e.getMessage()));
    }
}

五、測試訪問效果

資料庫賬號:admin 密碼:123456

1. 輸入錯誤使用者名稱提示該使用者不存在

2. 輸入錯誤密碼提示密碼錯誤

3. 輸入正確使用者名稱和賬號，提示登陸成功，然後跳轉到首頁


登陸成功後即可正常訪問其他介面，如果是未登入情況下將訪問不了

溫馨小提示：這裡在未登入時或訪問未授權的介面時，後端暫時沒有做處理，相關案例將會放在後面的許可權控制案例教程中講解

六、總結

  1. 在Spring Security核心配置類中設定自定義的使用者密碼校驗過濾器(AdminAuthenticationProcessingFilter)
  2. 在自定義的使用者密碼校驗過濾器中配置認證管理器(CusAuthenticationManager)、認證成功處理(AdminAuthenticationSuccessHandler)和認證失敗處理(AdminAuthenticationFailureHandler)等
  3. 在自定義的認證管理器中配置自定義的認證處理(AdminAuthenticationProvider)
  4. 然後就是在認證處理中實現自己的相應業務邏輯等
Security相關程式碼結構：

本文案例原始碼

https://gitee.com/zhengqingya/java-worksp

相關推薦

Spring Security 自定義登入認證（二）

一、前言 本篇文章將講述Spring Security自定義登入認證校驗使用者名稱、密碼，自定義密碼加密方式，以及在前後端分離的情況下認證失敗或成功處理返回json格式資料 溫馨小提示：Spring Security中有預設的密碼加密方式以及登入使用者認證校驗，但小編這裡選擇自定義是為了方便以後業務擴充套件，

spring實戰-Spring-security自定義登入登出、防csrf攻擊及檢視保護

第十篇：Spring-security自定義登入登出、防csrf攻擊及檢視保護 這是Spring及SpringMVC的最後一篇，本次主要演示SpringSecurity更使用的示例，如自定義的登入頁面，系統登出，防止CSRF跨站攻擊，以及檢視保護檢視保護可以定義到按鈕級別的許可權 先看自

Spring Security 自定義登入驗證與自定義回撥地址

1 配置檔案 security-ns.xml <?xml version="1.0" encoding="UTF-8"?> <beans xmlns="http://www.springframework.org/schema/b

Spring Security 自定義登入介面

一、Spring Security 簡介 Spring 是一個非常流行和成功的 Java 應用開發框架。Spring Security 基於 Spring 框架，提供了一套 Web 應用安全性的完整解決方案。 一般來說，Web 應用的安全性包括使用者認證（A

Spring security 自定義登入與許可權控制

一、先說必要的配置檔案： 1、web.xml檔案新增上 <!-- Spring Security 許可權框架 --> <filter> <filter-name>springSecurityFilterChain</filt

WPF自定義控件（二）の重寫原生控件樣式模板

我們 new 所有 代碼 microsoft tps ron 例子 family 開發過程中，我們有時候用WPF原生的控件就能實現自己的需求，但是樣式、風格並不能滿足我們的需求，那麽我們該怎麽辦呢？----自定義樣式與模板。 一、樣式 在WPF中我們可以

按鈕配置之自定義按鈕使用（二）——JEPLUS軟件快速開發平臺

bottom vpd 開發平臺 rem 按鈕 ros cto -c spa JEPLUS按鈕配置之自定義按鈕使用（二）之前的一篇筆記講的是在列表上添加自定義按鈕來完成自己的業務需求，今天這篇筆記就主要講一下如何在表

DispNet中Caffe自定義層解讀（二）——DataAugmentation

DispNet中Caffe自定義層解讀（二）——DataAugmentation 這一系列博文記錄了博主在學習DispNet過程中遇到的自定義Caffe層的筆記。這一部分是DataAugmentation層，其主要功能是：根據要求對輸入的資料進行擴張，從而從資料的角度上儘量緩解過擬合

java自定義註解學習（二）_註解詳解

上篇文章，我們簡單的實現了一個自定義註解，相信大家對自定義註解有了個簡單的認識，這篇，這樣介紹下註解中的元註解和內值註解 整體圖示 內建註解 @Override 重寫覆蓋 這個註解大家應該經常用到，主要在子類重寫父類的方法，比如toString()方法 package com.kevin.demo;

Android自定義View初探（二）——仿360垃圾清理

明天就是五一勞動節了，在這裡先祝各位程式猿勞動節快樂，別在加班了！ 自從嘗試過寫自定義View（Android自定義View初探（一）——餅圖）之後，每當看到別人的應用時，總是在想別人的實現方式，或許，這就是程式猿的悲哀吧O(∩_∩)O~。 前兩天就想嘗試去

自定義Gradle外掛（二）

上一篇部落格已經介紹瞭如何實現簡單的自定義gradle外掛，今天介紹如何自定義Task。 一、自定義Task          1、直接沿用上一篇的程式碼，copy一份改名CustomPluginTask          在plugin\src\main\groov

編寫Qt Designer自定義控制元件（二）——編寫自定義控制元件介面

        既然是控制元件，就應該有介面，預設生成的控制元件類只是一個繼承了QWidget的類，如下： #ifndef LOGLATEDIT_H #define LOGLATEDIT_H #include <QWidget> class LogLat

基於Android搭建tensorflow lite,實現官網的Demo以及執行自定義tensorflow模型（二）

基於上一篇在android studio 中已經佈置好的環境進行開發。這篇文章是基於手寫識別的例子，在tensorflow中搭建一個簡單的BP神經網路，在實現手寫數字的識別，然後把這個網路生成檔案，在android的tensorflow lite中執行。一 在tensorfl

Android自定義控制元件（二）-給自定義控制元件新增事件

在這篇部落格中主要講解給Android自定義控制元件新增點選事件，實現可以按住百分比圓圈在螢幕上進行拖動圓圈的功能。分兩部分講，第一部分是獲取自定義控制元件的座標，第二部分是重新繪製控制元件。 第一部分：獲取自定義控制元件座標 首先看一張圖，這是自定義控制元件中獲

百度地圖JavaScript API 學習之自定義標註圖示（二）

地圖繪製之新增自定義標註圖示（二） 官方提供了兩種方法來自定義標註圖示： 通過引數MarkerOptions的icon屬性進行設定 使用Marker.setIcon()方法。 第二

自定義控制元件（二）Paint，Canvas 基礎用法

本篇部落格繼續學習 Paint 和 Canvas 的基礎用法，上一篇部落格學習了基礎API使用（ 基礎幾何圖形，Path 路徑 ），接下來學習 繪製文字 和 繪製圖片 上一篇文章，沒看的有必要先了解一下： 自定義控制元件（一）Paint，Canvas 基礎用

Go gRPC進階-TLS認證+自定義方法認證（七）

前言 前面篇章的gRPC都是明文傳輸的，容易被篡改資料。本章將介紹如何為gRPC新增安全機制，包括TLS證書認證和Token認證。 TLS證書認證 什麼是TLS TLS（Transport Layer Security，安全傳輸層)，TLS是建立在傳輸層TCP協議之上的協議，服務於應用層，它的前身是SSL（S

Vue結合Django-Rest-Frameword結合實現登入認證（二）

>作者：小土豆biubiubiu > >部落格園：https://www.cnblogs.com/HouJiao/ > >掘金：https://juejin.im/user/2436173500265335 > > >微信公眾號：土豆媽的碎碎念（掃碼關注，一起吸貓，一起聽故事，一起學習前端技術）

spring-security 個性化使用者認證流程——自定義登入頁面（可配置）

1.定義自己的登入頁面我們需要根據自己的業務系統構建自己的登入頁面以及登入成功、失敗處理在spring security提供給我的登入頁面中，只有使用者名稱、密碼框，而自帶的登入成功頁面是空白頁面（可以重定向之前請求的路徑中），而登入失敗時也只是提示使用者被鎖定、過期等資訊。 在實際的開發中，則需要更

activiti自定義流程之Spring整合activiti-modeler5.16例項（二）：建立流程模型

1.maven導包，這裡就沒有什麼多的好說了，直接程式碼： <dependencies> <dependency> <groupId>junit</groupId> <artifact