Security 过滤器链配置

快来打我* 2022-09-04 13:56 168阅读 0赞

package com.itheima.config;
    
    import com.itheima.service.UserService;
    import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.context.annotation.Bean;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
    import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
    
    @Configuration
    @EnableWebSecurity
    @EnableGlobalMethodSecurity(securedEnabled=true)
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    
        @Autowired
        private UserService userService;
    
        @Bean
        public BCryptPasswordEncoder passwordEncoder(){
            return new BCryptPasswordEncoder();
        }
    
        //指定认证对象的来源
        public void configure(AuthenticationManagerBuilder auth) throws Exception {
            auth.userDetailsService(userService).passwordEncoder(passwordEncoder());
        }
        //SpringSecurity配置信息
        public void configure(HttpSecurity http) throws Exception {
            http.authorizeRequests()
                    .antMatchers("/login.jsp", "failer.jsp", "/css/**", "/img/**", "/plugins/**").permitAll()//定义了默认允许访问的资源（不需要认证）
                    .antMatchers("/product").hasAnyRole("USER")// 任何以“/ product /”开头的URL都将仅限于具有“USER”角色的用户
                    .anyRequest().authenticated()// 任何尚未匹配的URL只需要对用户进行身份验证
                    .and()//
                    .formLogin() //
                    .loginPage("/login.jsp")// 设置登录页面是/login.jsp
                    .loginProcessingUrl("/login")//
                    .successForwardUrl("/index.jsp")// 登录成功的跳转
                    .failureForwardUrl("/failer.jsp")// 登录失败的跳转
                    .and()
                    .logout()
                    .logoutSuccessUrl("/logout") // 自定义一个LogoutSuccessHandler。如果指定了此参数，则忽略logoutSuccessUrl
                    .invalidateHttpSession(true)//指定在注销时是否使HttpSession无效。默认为true
                    .logoutSuccessUrl("/login.jsp")// 退出登录后的重定向
                    .and()
                    .csrf()// 启动csrf防攻击策略
                    .disable();
        }
    }

更多配置，参考         [https://blog.csdn.net/weixin\_30767835/article/details/96154077][https_blog.csdn.net_weixin_30767835_article_details_96154077]

## **Spring Security常用过滤器介绍** ##

1. org.springframework.security.web.context.SecurityContextPersistenceFilter

首当其冲的一个过滤器，作用之重要，自不必多言。

SecurityContextPersistenceFilter 主要是使用 SecurityContextRepository 在 session 中保存或更新一个

SecurityContext ，并将 SecurityContext 给以后的过滤器使用，来为后续 fifilter 建立所需的上下文。

SecurityContext 中存储了当前用户的认证以及权限信息。

2. org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter

此过滤器用于集成 SecurityContext 到 Spring 异步执行机制中的 WebAsyncManager

3. org.springframework.security.web.header.HeaderWriterFilter

向请求的 Header 中添加相应的信息 , 可在 http 标签内部使用 security:headers 来控制

4. org.springframework.security.web.csrf.CsrfFilter

csrf 又称跨域请求伪造， SpringSecurity 会对所有 post 请求验证是否包含系统生成的 csrf 的 token 信息，

如果不包含，则报错。起到防止 csrf 攻击的效果。

5. org.springframework.security.web.authentication.logout.LogoutFilter

匹配 URL 为 /logout 的请求，实现用户退出 , 清除认证信息。

6. org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter

认证操作全靠这个过滤器，默认匹配 URL 为 /login 且必须为 POST 请求。

7. org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter

如果没有在配置文件中指定认证页面，则由该过滤器生成一个默认认证页面。

8. org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter

由此过滤器可以生产一个默认的退出登录页面

9. org.springframework.security.web.authentication.www.BasicAuthenticationFilter

此过滤器会自动解析 HTTP 请求中头部名字为 Authentication ，且以 Basic 开头的头信息。

10. org.springframework.security.web.savedrequest.RequestCacheAwareFilter

通过 HttpSessionRequestCache 内部维护了一个 RequestCache ，用于缓存 HttpServletRequest

11. org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter

针对 ServletRequest 进行了一次包装，使得 request 具有更加丰富的 API

12. org.springframework.security.web.authentication.AnonymousAuthenticationFilter

当 SecurityContextHolder 中认证信息为空 , 则会创建一个匿名用户存入到 SecurityContextHolder 中。

spring security 为了兼容未登录的访问，也走了一套认证流程，只不过是一个匿名的身份。

13. org.springframework.security.web.session.SessionManagementFilter

SecurityContextRepository 限制同一用户开启多个会话的数量

14. org.springframework.security.web.access.ExceptionTranslationFilter

异常转换过滤器位于整个 springSecurityFilterChain 的后方，用来转换整个链路中出现的异常

15. org.springframework.security.web.access.intercept.FilterSecurityInterceptor

获取所配置资源访问的授权信息，根据 SecurityContextHolder 中存储的用户信息来决定其是否有权

限。

[https_blog.csdn.net_weixin_30767835_article_details_96154077]: https://blog.csdn.net/weixin_30767835/article/details/96154077

Security 过滤器链配置

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关 Javaweb | 过滤器、配置、过滤器链、优先级

相关 Spring Security内置过滤器详解

相关 FilterChain（过滤器链）详解

相关 Spring Security 过滤器链（一）创建FilterChainProxy

相关 springSecurity 过滤器链

相关 Security 过滤器链配置

相关 spring security自定义过滤器

相关 spring security标准过滤器以及排序

相关 Spring-Security的自定义过滤器

相关 FilterChain（过滤器链）详解