从零开始java安全权限框架篇（一）：spring security配置登录登出的配置
目录
一：安全权限框架的选取
二：功能
三：登录登出
四：代码注释
1.将登陆交由Spring security完成
2.前台明文密码加密，与数据库比对
3.关键配置
4.自定义用户异常
5.ajax请求处理陈宫和失败的
6.MD5加密和对象转成json就不用我说了吧
五：记住我功能的原理和实现
1.原理
2.代码
六：验证码功能的实现
七：三次错误密码锁定账户
一：安全权限框架的选取
目前主流的安全权限框架有：shiro和security以及自定义权限框架。本人在之前都是使用的shiro框架，在一定程度上shiro框架具有简单而又通用的优势。但是这里我为什么启用security框架呢？
首先从名字可以看出security是spring 家族的一员，具有天然无缝整合spring的优势。在之前本人接触到了springcloud-aouth2中使用了security来控制权限，因此这里我们本章就基于这个security框架。
这里我们将从以下几个方面来解决spring security涉及到的内容
（1）登录登出配置
（2）权限的管理
（3）记住我的功能
（4）登录超时
...
二：功能
spring security中对于登录登出功能的功能包含：
（1）登录交由security来检测
（2）权限配置交由sercurity来配置
（3）存储用户登录的缓存（即在spring容器的上下文中都可以在这里取得当前用户的信息）
三：登录登出
这里主要是3个配置以及主要的作用如下图所示
四：代码注释
1.将登陆交由Spring security完成
这里基本上没有什么的，结合上图就能看懂
package com.config.Seurity.service;
import java.util.ArrayList;
import java.util.Collection;
import java.util.List;
import org.apache.tomcat.util.security.MD5Encoder;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;
import com.moudle.user.model.Role;
import com.moudle.user.model.User;
import com.moudle.user.model.UserRole;
import com.moudle.user.service.UserRoleService;
import com.moudle.user.service.UserService;
import commons.utils.Md5Utils;
/*
* 自定义用户登录授权service
*/
@Service("userDetailsService")
public class LoginService implements UserDetailsService{
@Autowired
private UserService userService;
@Autowired
private UserRoleService userroleSerivce;
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
List userList = userService.login(username, null);
if (userList == null || userList.isEmpty()) {
throw new UsernameNotFoundException("该用户不存在！");
}
//添加权限
UserRole userRole=new UserRole();
userRole.setUserId(userList.get(0).getFkUserId());
List roleList=userroleSerivce.findUserRoleList(userRole).get(0).getRoleList();
Collection authorities = new ArrayList<>();
for(Role role:roleList) {
authorities.add(new SimpleGrantedAuthority(role.getRoleCode()));
}
return new org.springframework.security.core.userdetails.User(userList.get(0).getUserName(),
userList.get(0).getPassword(), authorities);
}
}
2.前台明文密码加密，与数据库比对
这里也没什么好说的，就是注意前台输入的面加密方式与存入数据库密码的方式，一致
package com.config.Seurity.pwdEnder;
import org.springframework.security.crypto.password.PasswordEncoder;
import commons.utils.Md5Utils;
import lombok.extern.slf4j.Slf4j;
/**
* 自定义加密，在这里给前台密码加密，并且与数据库比对
* ClassName: MyPasswordEncoder
* Function: 一句话描述功能.
* auth: monxz
* date: 2019年8月28日 下午5:34:32
*
*
*/
@Slf4j
public class MyPasswordEncoder implements PasswordEncoder {
@Override
public String encode(CharSequence charSequence) {
return Md5Utils.hash(charSequence.toString());
}
@Override
public boolean matches(CharSequence charSequence, String s) {
log.info("前端铭文密码："+charSequence.toString()+",数据库密码："+s);
return s.equals(Md5Utils.hash(charSequence.toString()));
}
}
3.关键配置
注意：我这里登录方法是以ajax提交的，如果用form表单提交的释放form表单登录注释，ajax登录添加注释即可
package com.config.Seurity.config;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import com.config.Seurity.hander.AjaxSuccessHander;
import com.config.Seurity.hander.AjaxfailHander;
import com.config.Seurity.pwdEnder.MyPasswordEncoder;
import com.config.Seurity.service.LoginService;
/**
* spring security的配置
* ClassName: SecurityConfig
* Function: 一句话描述功能.
* auth: monxz
* date: 2019年8月28日 上午10:04:50
*
*
*/
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter{
@Autowired
private LoginService loginService;
//登录执行的逻辑
@Autowired
public void configureGlobalSecurity(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(loginService).passwordEncoder(new MyPasswordEncoder());
}
//配置信息
@Override
protected void configure(HttpSecurity http) throws Exception {
String[] allowedUrl= {"/api/**"};
//配置访问权限
http.authorizeRequests()
//允许匿名访问(如api)
.antMatchers(allowedUrl).permitAll()
//其他地址的访问均需验证权限
.anyRequest().authenticated();
//配置登录以及成功失败的处理方式
http.formLogin()
//指定登录页是"/view/login"
.loginPage("/view/login").permitAll() //
//ajax方式登录
.successHandler(new AjaxSuccessHander())
.failureHandler(new AjaxfailHander())
.loginProcessingUrl("/login")
.usernameParameter("username") //ajax请求必须的
.passwordParameter("password");
//form表单请求登录
// .defaultSuccessUrl("/view/index") //登录成功后默认跳转到路径"
//注销 ，直接访问 ip:port/logout
http .logout()
.logoutSuccessUrl("/view/login") //退出登录后跳转到登录主界面"
.permitAll();
//跨域以及其他的一些配置
http .csrf().disable() // 关闭CSRF跨域
.headers().frameOptions().sameOrigin(); // 允许加载frame子菜单
}
//静态资源
@Override
public void configure(WebSecurity web) throws Exception {
String[] allowedRes= {"/static/**","/css/**","/js/**","/my/**","/img/**","/ajax/**","favicon.ico"};
// 设置拦截忽略文件夹，可以对静态资源放行
web.ignoring().antMatchers(allowedRes);
}
}
4.自定义用户异常
package com.config.Seurity.exception;
/**
* 用户名不存在
* ClassName: UsernameNotFoundException
* Function: 一句话描述功能.
* auth: monxz
* date: 2019年8月28日 上午10:17:02
*
*
*/
public class UserException extends RuntimeException{
private String retCd ; //异常对应的返回码
private String msgDes; //异常对应的描述信息
public UserException() {
super();
}
public UserException(String message) {
super(message);
msgDes = message;
}
public UserException(String retCd, String msgDes) {
super();
this.retCd = retCd;
this.msgDes = msgDes;
}
public String getRetCd() {
return retCd;
}
public String getMsgDes() {
return msgDes;
}
}
5.ajax请求处理陈宫和失败的
package com.config.Seurity.hander;
import java.io.IOException;
import java.io.PrintWriter;
import java.util.HashMap;
import java.util.Map;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler;
import commons.json.JSON;
import lombok.extern.slf4j.Slf4j;
/**
* 登录失败的ajax
* ClassName: AjaxSuccessHander
* Function: 一句话描述功能.
* auth: monxz
* date: 2019年8月28日 下午3:58:29
*
*
*/
@Slf4j
public class AjaxfailHander extends SimpleUrlAuthenticationFailureHandler{
@Override
public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
String message = "账号或密码输入错误,请重新输入!";
response.setCharacterEncoding("utf-8");
response.setContentType("application/json; charset=utf-8");
PrintWriter writer = response.getWriter();
Map map=new HashMap();
map.put("success", false);
map.put("message", message);
writer.write(JSON.mapJson(map));
}
}
package com.config.Seurity.hander;
import java.io.IOException;
import java.io.PrintWriter;
import java.util.HashMap;
import java.util.Map;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.apache.tomcat.util.http.ResponseUtil;
import org.springframework.security.core.Authentication;
import org.springframework.security.web.authentication.SimpleUrlAuthenticationSuccessHandler;
import com.alibaba.druid.support.json.JSONUtils;
import commons.json.JSON;
import commons.json.JSONObject;
import commons.result.DataResult;
import lombok.extern.slf4j.Slf4j;
/**
* 登录成功的ajax
* ClassName: AjaxSuccessHander
* Function: 一句话描述功能.
* auth: monxz
* date: 2019年8月28日 下午3:58:29
*
*
*/
@Slf4j
public class AjaxSuccessHander extends SimpleUrlAuthenticationSuccessHandler{
@Override
public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
response.setCharacterEncoding("utf-8");
response.setContentType("application/json; charset=utf-8");
PrintWriter writer = response.getWriter();
Map map=new HashMap();
map.put("success", true);
writer.write(JSON.mapJson(map));
}
}
6.MD5加密和对象转成json就不用我说了吧
五：记住我功能的原理和实现
1.原理
这个原理图是从网上百度的。。。但是很容易看明白
2.代码
（1）前端页面
注意点就2个
（2）SercurityConfig中配置
加入数据库的应用
@Autowired
private DataSource dataSource;添加到数据库㕜
//记住我功能的Token存储在数据库中
@Bean
public PersistentTokenRepository persistentTokenRepository() {
JdbcTokenRepositoryImpl jdbcTokenRepository = new JdbcTokenRepositoryImpl();
// 配置数据源
jdbcTokenRepository.setDataSource(dataSource);
// 第一次启动的时候自动建表（可以不用这句话，自己手动建表，源码中有语句的）
jdbcTokenRepository.setCreateTableOnStartup(true);
return jdbcTokenRepository;
}配置信息中配置
//配置信息
@Override
protected void configure(HttpSecurity http) throws Exception {
String[] allowedUrl= {"/api/**"};
//配置访问权限
http.authorizeRequests()
//允许匿名访问(如api)
.antMatchers(allowedUrl).permitAll()
//其他地址的访问均需验证权限
.anyRequest().authenticated();
//配置登录以及成功失败的处理方式
http.formLogin()
//指定登录页是"/view/login"
.loginPage("/view/login").permitAll() //
//ajax方式登录
.successHandler(new AjaxSuccessHander())
.failureHandler(new AjaxfailHander())
.loginProcessingUrl("/login")
.usernameParameter("username") //ajax请求必须的
.passwordParameter("password");
//form表单登录
// .defaultSuccessUrl("/view/index") //登录成功后默认跳转到路径"
//注销 ，直接访问 ip:port/logout
http .logout()
.logoutSuccessUrl("/view/login") //退出登录后跳转到登录主界面"
.deleteCookies() //有记住我功能，删除cookie
.permitAll();
//记住我
http.rememberMe()
.tokenRepository(persistentTokenRepository())
.tokenValiditySeconds(60);
//跨域以及其他的一些配置
http .csrf().disable() // 关闭CSRF跨域
.headers().frameOptions().sameOrigin(); // 允许加载frame子菜单
}注意：当你的数据库存在persistent_logins表，请注释掉 第一次启动自动建表下的那句话
说明=====》这里我们目前只是实现功能，在后面我们会将这里的tokne集中存放在redis中的
六：验证码功能的实现
本来是想做一个基于spring security的验证码功能的，但是考虑到那种验证码功能是真的恶心，这里直接使用前段js插件sliderImgPuzzle.js实现图片拖动时验证，关于后端的验证，会在后面的网关模块做修改。这里直接贴出我下载的地址吧
https://github.com/chen9091/jq_slideImage
七：三次错误密码锁定账户
这里先说明一下思路吧，使用缓存，设置失效时间（即为锁定时间），因为考虑到上面的一些问题，我会在下下张整合到redis中一起实现。