Spring Security入门6：Spring Security的默认配置

Designer 小郑

发布于 2024-01-11 09:49:30

4900

发布于 2024-01-11 09:49:30

文章被收录于专栏：跟着小郑学JAVA跟着小郑学JAVA

作者主页：Designer 小郑 作者简介：3年JAVA全栈开发经验，专注JAVA技术、系统定制、远程指导，致力于企业数字化转型，CSDN博客专家，阿里云社区专家博主，蓝桥云课讲师。

一、身份验证和授权过程

Spring Security 是一个强大且灵活的身份验证和授权框架，用于保护 Java Web 应用程序中的资源，它提供了一套丰富的功能，用于处理身份验证、授权、密码编码和会话管理等安全相关的任务。

配置认证管理器：首先需要配置一个认证管理器，用于处理用户的身份验证请求。认证管理器通常需要配置一个或多个身份验证提供者，用于实际验证用户的身份。
提供用户信息：身份验证过程需要获得用户的相关信息，包括用户名、密码和权限等。这些信息可以从数据库、LDAP、内存或外部认证服务等不同的来源中获取。你可以实现自己的用户详情服务（UserDetailsService）来提供用户信息，或者使用 Spring Security 提供的默认实现。
构建认证请求：在用户访问受保护资源时，需要提供身份验证凭证。这可以通过用户名和密码表单、HTTP 基本认证、OAuth2 等方式来实现。Spring Security 提供了相应的过滤器来处理不同类型的认证请求。
身份验证过滤器：Spring Security 使用一系列过滤器来处理身份验证请求。这些过滤器按照一定的顺序依次执行，直到完成身份验证或出现错误。常用的过滤器包括用户名密码验证过滤器（UsernamePasswordAuthenticationFilter）、基本认证过滤器（BasicAuthenticationFilter）等。
身份验证提供者：当身份验证过滤器处理用户请求时，会调用配置的身份验证提供者来验证用户的身份。身份验证提供者根据用户提供的凭证进行验证，并返回一个已认证的 Authentication 对象。
认证成功处理器：如果身份验证成功，Spring Security 将会执行认证成功处理器（AuthenticationSuccessHandler）。认证成功处理器负责生成认证成功的响应，可以进行一些后续处理，比如重定向到指定页面。
授权过滤器：一旦用户通过身份验证，接下来需要进行授权决策，即判断用户是否有权限访问所请求的资源。Spring Security 使用一系列授权过滤器来处理授权请求，比如访问决策管理器（AccessDecisionManager）、授权处理器（AccessDeniedHandler）等。
基于注解的授权：除了过滤器链的方式，Spring Security 还支持使用注解来进行授权。通过在方法或类上添加 @Secured、@PreAuthorize、@PostAuthorize 等注解，可以对方法进行精细的授权控制。

Spring Security 的身份验证和授权过程涉及到配置认证管理器、提供用户信息、构建认证请求、过滤器链处理、身份验证提供者、认证成功处理器、授权过滤器链和基于注解的授权等多个环节。通过合理配置和使用，可以实现灵活且安全的身份验证和授权机制。

二、配置认证管理器

在Spring Security中，配置认证管理器（AuthenticationManager）是实现身份验证的关键步骤之一。认证管理器是一个接口，定义了对用户的身份验证操作。Spring Security提供了多个具体的实现类，包括 ProviderManager、AuthenticationManagerBuilder 等，用于配置和管理认证管理器。

认证管理器需要知道如何获取用户的身份信息和权限信息。你可以实现自己的用户详情服务，实现 UserDetailsService 接口，并在其中根据用户名加载用户信息。也可以使用 Spring Security 提供的默认实现，例如 InMemoryUserDetailsManager、JdbcUserDetailsManager 等。

在进行身份验证时，需要将用户输入的密码进行编码与存储的密码进行比对。为了保证密码的安全性，Spring Security提供了多种密码编码器，如 BCryptPasswordEncoder、PasswordEncoderFactories 等。你可以根据需求选择合适的密码编码器，并将其配置到认证管理器中。

认证管理器通常需要配置一个或多个身份验证提供者，用于实际验证用户的身份。身份验证提供者需要实现 AuthenticationProvider 接口，并在其中编写验证逻辑。Spring Security 中常用的身份验证提供者包括 DaoAuthenticationProvider、LdapAuthenticationProvider 等。

最后一步是将上述配置的用户详情服务、密码编码器和身份验证提供者组装成一个认证管理器。可以通过创建一个 ProviderManager 对象，并将相关配置参数传递给它来完成认证管理器的配置。也可以使用 AuthenticationManagerBuilder 来简化配置过程，实现代码如下。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService)
            .passwordEncoder(passwordEncoder());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // 配置其他的安全相关设置
    }
}

通过配置 AuthenticationManagerBuilder 的 userDetailsService() 方法和 passwordEncoder() 方法，将用户详情服务和密码编码器配置到认证管理器中。在 configure() 方法中可以进行其他的安全相关设置，如配置登录页面、设置授权规则等，通过配置认证管理器，可以实现对用户身份的验证和授权操作，保护应用程序的安全性。

三、身份验证过滤器

在Spring Security中，有多个身份验证过滤器用于处理身份验证请求。这些过滤器是按照一定的顺序依次执行的，直到完成身份验证或出现错误。

2.1 UsernamePasswordAuthenticationFilter

UsernamePasswordAuthenticationFilter 是Spring Security提供的默认身份验证过滤器，用于处理基于表单的用户名密码身份验证请求。它监听POST请求的"/login"路径，接收用户名和密码等凭证，并将其封装为一个 UsernamePasswordAuthenticationToken 对象，然后通过 AuthenticationManager 进行身份验证。

2.2 BasicAuthenticationFilter

BasicAuthenticationFilter 用于处理HTTP基本身份验证请求。它从请求头中获取用户名和密码，并将其封装为一个 UsernamePasswordAuthenticationToken 对象，然后通过 AuthenticationManager 进行身份验证。

2.3 RememberMeAuthenticationFilter

RememberMeAuthenticationFilter 用于处理Remember Me身份验证请求。当用户选择 记住我 选项时，该过滤器会从请求中获取 Remember Me 凭证，并验证 Remember Me 令牌的有效性。

2.4 JwtAuthenticationFilter

JwtAuthenticationFilter 是用于处理基于 JWT（JSON Web Token）的身份验证请求的过滤器。它从请求头中获取 JWT 令牌，并使用配置的密钥进行验证和解析。

2.5 OAuth2AuthenticationProcessingFilter

OAuth2AuthenticationProcessingFilter 用于处理 OAuth2 身份验证请求。它从请求中获取 OAuth2 令牌，并通过配置的 OAuth2 提供者进行验证和解析。

这些身份验证过滤器可以通过配置 Spring Security 的过滤器链 Filter Chain 来启用。通过配置不同的过滤器，可以根据具体需求来处理不同类型的身份验证请求，同时也可以自定义身份验证过滤器来满足特定的需求。

四、身份验证管理器

Spring Security是一个功能强大的安全框架，用于在Java应用程序中管理身份验证和授权。在Spring Security中，身份验证管理器（AuthenticationManager）是一个核心组件，用于处理用户的身份验证请求。

身份验证管理器负责验证用户提供的凭据，并决定用户是否通过身份验证。它通常与身份验证提供者（AuthenticationProvider）一起使用，身份验证提供者负责实际验证用户的凭据。身份验证管理器可以配置多个身份验证提供者，以支持不同类型的身份验证方式，例如基于数据库的验证、LDAP 验证、OAuth 验证等。

在Spring Security中，身份验证管理器的核心接口是AuthenticationManager，它定义了一个方法 authenticate(Authentication authentication)，用于对用户进行身份验证。该方法接收一个Authentication对象作为参数，该对象包含用户提供的凭据信息，如用户名和密码。身份验证管理器根据配置的身份验证提供者进行验证，并返回一个已验证的Authentication对象，表示用户通过了身份验证。

身份验证管理器的具体实现通常是通过使用 ProviderManager 类来实现的。ProviderManager类实现了 AuthenticationManager 接口，并通过委派给配置的身份验证提供者来完成身份验证过程。在配置中，可以通过 AuthenticationProvider 接口的实现类来指定身份验证提供者，并将它们添加到 ProviderManager 中。

在Spring Security的配置文件中，可以通过使用 authentication-manager 元素来配置身份验证管理器。

<authentication-manager>
    <authentication-provider>
        <user-service>
            <user name="user" password="password" authorities="ROLE_USER" />
        </user-service>
    </authentication-provider>
</authentication-manager>

上述配置中，使用了一个简单的基于内存的身份验证提供者，其中包含一个用户“user”和对应的密码和权限。这样，当用户提供正确的用户名和密码时，身份验证管理器将使用该提供者进行验证。

总之，Spring Security的身份验证管理器是一个关键的组件，用于处理用户的身份验证请求。它通过配置和使用身份验证提供者来实现具体的身份验证逻辑，并返回验证通过的Authentication对象。这使得Spring应用程序能够方便地实现用户身份验证和授权功能。

五、认证成功处理器

在 Spring Security 中，认证成功处理器 AuthenticationSuccessHandler 是一个用于在用户成功通过身份验证后处理的组件，当用户成功通过身份验证后，认证成功处理器负责执行一些后续操作，例如重定向到另一个页面、返回认证成功的信息等。

认证成功处理器的主要作用是允许开发人员自定义在认证成功后的处理逻辑，以满足特定的业务需求，它提供了一种灵活的方式来处理认证成功后的操作。

在 Spring Security 中，认证成功处理器是通过实现 AuthenticationSuccessHandler 接口来完成的，该接口定义了一个方法 onAuthenticationSuccess，用于处理认证成功的逻辑，开发人员可以编写自己的代码来处理认证成功后的操作。

public class CustomAuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
        // 执行认证成功后的逻辑
        // 例如，重定向到指定页面
        response.sendRedirect("/home");
    }
}

自定义的认证成功处理器重写 onAuthenticationSuccess 方法，并在方法中执行了重定向到 /home 路径的操作。

要在 Spring Security 中配置使用自定义的认证成功处理器，可以在配置文件中指定使用该处理器，代码如下。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomAuthenticationSuccessHandler authenticationSuccessHandler;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .formLogin()
                .successHandler(authenticationSuccessHandler)
                .and()
            .logout()
                .logoutSuccessUrl("/login")
                .and()
            .csrf().disable();
    }
}

同学们通过调用 successHandler 方法来指定使用自定义的认证成功处理器。

Spring Security中的认证成功处理器是一个用于在用户成功通过身份验证后处理的组件，认证成功处理器允许开发人员自定义在认证成功后的操作，并提供了灵活的方式来实现特定的业务需求。

六、授权过滤器

在 Spring Security 中，授权过滤器（AuthorizationFilter）用于对请求进行权限验证和授权，它是 Spring Security 中的一个核心组件，用于保护资源并限制用户的访问权限。

授权过滤器的主要作用是在请求到达受保护的资源之前，对用户进行授权验证，它会检查用户的身份认证信息以及用户所拥有的权限，以确定用户是否有权访问该资源。

Spring Security提供了多个授权过滤器，其中最常用的是基于 URL 的授权过滤器和基于方法级别的授权过滤器。

基于URL的授权过滤器（FilterSecurityInterceptor）：该过滤器基于 URL 路径进行授权验证。它会检查用户的身份认证信息和所拥有的权限，并根据配置的规则来决定是否允许用户访问请求的 URL。
基于方法级别的授权过滤器（MethodSecurityInterceptor）：该过滤器基于方法级别的注解进行授权验证。它可以通过在方法上添加注解（如 @Secured、@PreAuthorize 等）来控制方法的访问权限。

授权过滤器通常与认证过滤器（AuthenticationFilter）一起使用，认证过滤器用于验证用户的身份。当用户通过身份验证后，授权过滤器会根据用户的角色和权限信息，决定是否允许用户访问请求的资源。

在Spring Security中，可以通过配置来启用和配置授权过滤器。一般来说，可以通过在 WebSecurityConfigurerAdapter 的配置类中重写 configure(HttpSecurity http) 方法来配置授权过滤器。例如：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasAnyRole("ADMIN", "USER")
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .and()
            .httpBasic();
    }
}

使用基于 URL 的授权过滤器，通过 antMatchers() 方法指定了不同URL路径的访问权限要求，只有具有 ADMIN 角色的用户才能访问 /admin/** 路径下的资源。

Spring Security中的授权过滤器用于对用户进行权限验证和授权，它可以基于URL路径或方法级别的注解来定义访问权限规则，保护受限资源并限制用户的访问权限，同学们可以通过配置和使用授权过滤器，可以实现细粒度的权限控制和访问管理。

本文参与腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。

原始发表：2024-01-10，如有侵权请联系 cloudcommunity@tencent.com 删除

security