通过前面的学习我们可以使用spring security完成简单的认证和授权，但是实际项目中用户的数据往往都是存在数据库中，登录页面也需要可以自由定制，下面我们就来学习使用spring security如何完成
创建mavean项目选择模板 mavean-archetype-webapp
1.1 自定义登录页面：
创建登录页面，结构如下：
在WEBCONFIG.java中配置认证页面地址
//默认Url根路径跳转到/login，此url为spring security提供
@Configuration
public class WebConfig implements WebMvcConfigurer {
@Override
public void addViewControllers(ViewControllerRegistry registry) {
registry.addViewController("/").setViewName("redirect:/login-view");
registry.addViewController("/login-view").setViewName("login");
}
}
安全配置：
在WebSecurityConfig中配置表单登录信息：
http
.authorizeRequests()
.antMatchers("/r/**").authenticated()
.anyRequest().permitAll()
.and()
.formLogin()
.loginPage("/login-view")
.loginProcessingUrl("/login")
.successForwardUrl("/login-success")
.permitAll();
（1） 允许表单登录
（2） 指定自己的登录页以重定向方式跳转到/login-view
（3） 指定登录处理的url也就是填写用户名密码以后提交到的地址
（4） 指定登录成功后跳转到的URL
（5） 允许所有用户登录以后访问所有URL
测试：
输入用户名密码点击登录报403错
问题解决：
Spring security为防止CSRF(跨站请求伪造)的发生,限制除了get以外的大多数方法。
屏蔽CSRF控制,即spring security不再限制CSRF
配置WebSecurityConfig
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable();
…
}
连接数据库
前面的例子我们是将用户的信息保存在内存中，实际项目中往往是从数据库中读取用户的信息进行验证，下面看看如何使用数据库中的用户信息进行登录，根据前面的研究我们知道只需要重新定义UserDetailService即可实现根据用户账号查询数据库。
1. 创建数据库
创建user_db数据库
CREATE DATABASE `user_db` CHARACTER SET 'utf8' COLLATE 'utf8_general_ci';
2.创建t_user表
CREATE TABLE `t_user` (
`id` bigint(20) NOT NULL COMMENT '用户id',
`username` varchar(64) NOT NULL,
`password` varchar(64) NOT NULL,
`fullname` varchar(255) NOT NULL COMMENT '用户姓名',
`mobile` varchar(11) DEFAULT NULL COMMENT '手机号',
PRIMARY KEY (`id`) USING BTREE
) ENGINE=InnoDB DEFAULT CHARSET=utf8 ROW_FORMAT=DYNAMIC
3.定义dataSource在application.properties配置
spring.datasource.url=jdbc:mysql://localhost:3306/user_db
spring.datasource.username=root
spring.datasource.password=123456
spring.datasource.driver-class-name=com.mysql.jdbc.Driver
4.添加依赖
<dependency>
<groupId>org.springframework.bootgroupId>
<artifactId>spring-boot-starter-testartifactId>
<scope>testscope>
dependency>
<dependency>
<groupId>org.springframework.bootgroupId>
<artifactId>spring-boot-starter-jdbcartifactId>
dependency>
<dependency>
<groupId>mysqlgroupId>
<artifactId>mysql-connector-javaartifactId>
<version>5.1.47version>
dependency>
5.定义实体类
@Data
public class UserDto {
private String id;
private String username;
private String password;
private String fullname;
private String mobile;
}
6.定义数据访问类
@Repository
public class UserDao {
@Autowired
JdbcTemplate jdbcTemplate;
public UserDto getUserByUsername(String username){
String sql ="select id,username,password,fullname from t_user where username = ?";
Listlist = jdbcTemplate.query(sql, new Object[]{username}, new
BeanPropertyRowMapper<>(UserDto.class));
if(list == null && list.size() <= 0){
return null;
}
return list.get(0);
}
}
7.定义UserDetailService
在service包下定义SpringDataUserDetailsService实现UserDetailService接口
@Service
public class SpringDataUserDetailsService implements UserDetailsService {
@Autowired
UserDao userDao;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
//登录账号
System.out.println("username="+username);
//根据账号去数据库查询...
UserDto user = userDao.getUserByUsername(username);
if(user == null){
return null;
}
//这里暂时使用静态数据
UserDetails userDetails =
User.withUsername(user.getFullname()).password(user.getPassword()).authorities("p1").build();
return userDetails;
}
}
8.测试
9. 使用BcryptPasswordEncoder
在安全配置类中定义BcryptPasswordEncoder
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
UserDetails中的密码存储BCrypt格式
前边实现了从数据库查询用户信息，所以数据库中的密码应该存储BCrypt格式
10.修改LoginController获取用户身份信息
@RestController
public class LoginController {
/**
* 用户登录成功
* @return
*/
@RequestMapping(value = "/login‐success",produces = {"text/plain;charset=UTF‐8"})
public String loginSuccess() {
String username = getUsername();
return username + " 登录成功";
}
/**
* 获取当前登录用户名
* @return
*/
private String getUsername(){
Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
if(!authentication.isAuthenticated()){
return null;
}
Object principal = authentication.getPrincipal();
String username = null;
if (principal instanceof org.springframework.security.core.userdetails.UserDetails) {
username =
((org.springframework.security.core.userdetails.UserDetails)principal).getUsername();
} else {
username = principal.toString();
}
return username;
}
@GetMapping(value = "/r/r1",produces = {"text/plain;charset=UTF‐8"})
public String r1(){
String username = getUsername();
return username + " 访问资源1";
}
@GetMapping(value = "/r/r2",produces = {"text/plain;charset=UTF‐8"})
public String r2(){
String username = getUsername();
return username + " 访问资源2";
}
}
11.测试
12.会话控制：
我们可以通过以下选项控制会话何时创建
Always 如果没有session存在就创建一个
ifRequired 如果需要就创建一个session登录时
never: Spring Security将不会创建session,但是如果应用中其它地方创建了session,那么spring security将会使用它
stateless:Spring Security将不会创建Session也不会使用Session
通过以下方式对该选项进行配置：
在WebSecurityConfig.java中加上:
protected void configure(HttpSecurity http) throws Exception {
http.sessionManagement()
.sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED);
…
}
默认情况下Spring Security会为每一个登录成功的用户创建一个Session,就是IF_REQUIRED
若选用never则指示Spring Security对登录成功的用户不创建Session了，但若你的应用程序在某地方新建了Session,那么Spring Security会用它的。
若使用stateless,则Spring Security对登录成功的用户不会创建Session,你的应用程序也不会创建Session,每个请求都需要重新进行身份验证，这种无状态架构适用于Rest API及其无状态认证机制。
会话超时：
可以设置Session超时时间,比如设置Session有效期为 3600秒：
在Spring Security配置文件中：
server.servlet.session.timeout=3600s
安全会话cookie
httpOnly:如果为true那么浏览器脚本无法访问cookie
secure：如果为true则cookie将仅通过Https连接发送
server.servlet.session.cookie.http-only=true
server.servlet.session.cookie.secure=true
13.退出
Spring Security默认帮我们实现了退出功能,访问/logout就可以实现退出
自定义退出成功页面：
.and()
.logout()
.logoutUrl("/logout")
.logoutSuccessUrl("/login-view?logout");
当执行退出时将会完成以下动作：
1. session失效
2. 清除SecurityContextHolder
3. 跳转到/login-view?logout
如果想进一步配置退出功能可以如下配置：
.logout() (1)
.logoutUrl("/logout") (2)
.logoutSuccessUrl("/login‐view?logout") (3)
.logoutSuccessHandler(logoutSuccessHandler) (4)
.addLogoutHandler(logoutHandler) (5)
.invalidateHttpSession(true); (6)
(1) 提供系统退出支持
(2) 设置触发退出操作的url,默认是/logout
(3) 退出之后跳转的url,默认是/login?logout
(4) 定制的LogoutSuccessHandler,用于实现用户退出成功时的处理，如果指定了这个选项则logoutSuccessUrl()的设置会被忽略
(5) 添加一个logoutHandler,用于实现用户退出时的清理工作，
(6) 指定在用户退出时是否让HttpSession无效，默认为true
注意：如果让logout在Get请求下生效,必须关闭防止csrf***的csrf().disable().如果开启了CSRF,必须使用post方式请求/logout