Security快速学习

梦里梦外; 2024-03-24 17:44 12阅读 0赞

Spring Security 是一个基于 Spring 框架的安全框架，主要用于进行身份认证和授权管理。下面简单介绍一下 Spring Security 的用法。

### 依赖与配置 ###

首先，需要在项目中添加 Spring Security 的依赖。假设我们使用 Maven 管理项目依赖，可以在 `pom.xml` 文件中添加如下依赖：

<dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-web</artifactId>
        <version>5.5.1</version>
    </dependency>
    
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-config</artifactId>
        <version>5.5.1</version>
    </dependency>

然后，需要在 Spring 配置文件（一般是 `applicationContext.xml` 或者`applicationContext-security.xml`）中配置 Spring Security。

<beans>
    
        
        <sec:global-method-security secured-annotations="enabled"/>
    
        
        <sec:http auto-config="true">
            <sec:intercept-url pattern="/admin/**" access="ROLE_ADMIN"/>
            <sec:form-login login-page="/login"/>
            <sec:logout logout-success-url="/"/>
        </sec:http>
    
        
        <sec:authentication-manager>
            <sec:authentication-provider>
                <sec:user-service>
                    <sec:user name="user" password="123456" authorities="ROLE_USER"/>
                    <sec:user name="admin" password="123456" authorities="ROLE_USER,ROLE_ADMIN"/>
                </sec:user-service>
            </sec:authentication-provider>
        </sec:authentication-manager>
    
    </beans>

在上述代码中，我们首先引入了 Spring Security 的命名空间 `sec`，然后配置了一个安全过滤器，使用了默认的 `UsernamePasswordAuthenticationFilter` 进行身份认证。其中：

*  `intercept-url` 元素定义了一个 URL 模式和访问该 URL 需要的权限，例如这里定义了 `/admin/**` 这个 URL 模式需要 `ROLE_ADMIN` 的权限。
 *  `form-login` 元素定义了登录页面的 URL。
 *  `logout` 元素定义了注销登录的 URL。

接下来，我们配置了一个 `authentication-manager` 元素，用来定义用户的认证信息。这里使用了内存方式存储用户信息，其中：

*  `<user>` 元素定义了一个用户，包括用户名、密码和用户权限。

### 编写控制器 ###

在 Spring Security 的配置完成之后，我们需要编写控制器来实现具体的操作。例如，我们可以编写一个 `HomeController` 控制器，用来显示首页，并限制 `/admin` 的访问权限：

@Controller
    public class HomeController {
    
        @GetMapping("/")
        public String index() {
            return "index";
        }
    
        @GetMapping("/admin")
        @PreAuthorize("hasAuthority('ROLE_ADMIN')")
        public String admin() {
            return "admin";
        }
    
    }

在上述代码中，我们使用了 `@PreAuthorize` 注解，指定了 `admin` 方法的访问权限，只有拥有 `ROLE_ADMIN` 权限的用户可以访问该方法。

需要注意的是，如果没有登录或者登录用户没有对应的权限，Spring Security 会重定向到登录页面进行身份认证。

### 登录页面 ###

最后，需要编写登录页面。可以使用 Thymeleaf 模板引擎，在 `index.html` 中添加如下代码：

<!DOCTYPE html>
    <html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>Spring Security Example</title>
    </head>
    <body>
    
    <div th:if="${param.error}">
        <p>Invalid username and password.</p>
    </div>
    
    <div th:if="${param.logout}">
        <p>You have been logged out.</p>
    </div>
    
    <h1>Welcome!</h1>
    
    <form th:action="@{/login}" method="post">
        <div>
            <label for="username">Username:</label>
            <input type="text" id="username" name="username"/>
        </div>
        <div>
            <label for="password">Password:</label>
            <input type="password" id="password" name="password"/>
        </div>
        <div>
            <button type="submit">Log in</button>
        </div>
    </form>
    
    </body>
    </html>

在上述代码中，我们处理了登录过程中出现错误和注销登录的情况，然后定义了一个表单用于提交用户名和密码。

最后，我们需要可以在 `applicationContext.xml` 或 `applicationContext-security.xml` 中配置登录页面路径：

<sec:http auto-config="true">
        <sec:form-login login-page="/"/>
        
    </sec:http>

在 `form-login` 元素中，使用 `login-page` 属性指定了登录页面的 URL。如果用户访问受保护的 URL 时没有登录，Spring Security 会自动将该请求重定向到登录页面。

![245df821c3d0cc45b830e71084971203.png][]

除了基本的认证和授权之外，Spring Security 还提供了许多其它的安全功能，包括密码加密、Remember-Me 功能、CSRF 防护等。接下来，分别介绍一下这些功能的用法。

### 密码加密 ###

在Spring Security中，密码加密是非常重要的一个功能。在存储密码时，我们需要将明文密码进行加密后再存储到数据库中。这里介绍一下如何在Spring Security中使用加密密码。

1.添加Spring Security的BCrypt依赖。

<dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-crypto</artifactId>
        <version>5.5.1</version>
    </dependency>

2.在配置文件中添加BCryptPasswordEncoder。

<sec:authentication-manager>
        <sec:authentication-provider>
            <sec:user-service>
                <sec:user name="user" password="{bcrypt}$2a$10$INa1DuRoTvf.DrWP3qXCmuXNoBAMOpPnlyFjiNSW8jvLwmjaUdmx6" authorities="ROLE_USER"/>
                <sec:user name="admin" password="{bcrypt}$2a$10$L/nhRUpRfTgiT18TlTLM3ONrXcGhNiimEDVSF6NKlyk6zWJbUIMx6" authorities="ROLE_USER,ROLE_ADMIN"/>
            </sec:user-service>
            <sec:password-encoder ref="bcryptEncoder"/>
        </sec:authentication-provider>
    </sec:authentication-manager>
    
    
    <bean id="bcryptEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>

3.在登录表单提交用户名和密码时，对密码进行加密后再提交到后台。

<form th:action="@{/login}" method="post">
        <div>
            <label for="username">Username:</label>
            <input type="text" id="username" name="username"/>
        </div>
        <div>
            <label for="password">Password:</label>
            <input type="password" id="password" name="password"/>
        </div>
        <div>
            <button type="submit" onclick="changePwd()">Log in</button>
        </div>
    </form>
    
    <script>
    function changePwd() {
        var pwd = document.getElementById('password').value;
        var hashedPwd = bcrypt.hashSync(pwd, 10);
        document.getElementById('password').value = hashedPwd;
    }
    </script>

这里使用了 bcrypt 对密码进行加密。在登录页面的提交按钮上添加了一个 `onclick` 事件，该事件会在用户点击登录按钮时对密码进行加密，然后再将加密后的密码提交给后台。

需要注意的是，Spring Security 提供了多种加密方式，包括 SHA-256、SHA-512、BCrypt 等。在实际应用中，应该根据具体情况选择合适的加密方法。

### Remember-Me ###

Remember-Me 是一种方便用户登录的功能，让用户可以在下一次登录时不用重新输入用户名和密码，直接使用之前登录过的凭证即可。Spring Security 提供了 Remember-Me 功能的支持，使用起来也很简单。

1.配置 Remember-Me 功能

在 Spring Security 配置文件中，可以使用 `remember-me` 元素来配置 Remember-Me 功能，如下所示：

<sec:http auto-config="true">
        <sec:form-login login-page="/login" login-processing-url="/doLogin" default-target-url="/index" authentication-failure-url="/login?error=true"/>
        <sec:logout logout-url="/logout" logout-success-url="/" invalidate-session="true"/>
        <sec:remember-me key="mysecretkey"/>
        
    </sec:http>

在这个例子中，我们通过添加 `remember-me` 元素来启用 Remember-Me 功能，并指定了一个密钥 `mysecretkey`，该密钥用于加密 Remember-Me 的凭证信息。如果需要实现更加复杂的 Remember-Me 功能，也可以通过实现 `PersistentTokenRepository` 接口来持久化 Remember-Me 的凭证信息。

2.在登录表单上添加 Remember-Me 复选框

在登录表单中添加 Remember-Me 复选框以启用 Remember-Me 功能，例如：

<!DOCTYPE html>
    <html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>Spring Security Example</title>
    </head>
    <body>
    
    <div th:if="${param.error}">
        <p>Invalid username and password.</p>
    </div>
    
    <div th:if="${param.logout}">
        <p>You have been logged out.</p>
    </div>
    
    <h1>Welcome!</h1>
    
    <form th:action="@{/doLogin}" method="post">
        <div>
            <label for="username">Username:</label>
            <input type="text" id="username" name="username"/>
        </div>
        <div>
            <label for="password">Password:</label>
            <input type="password" id="password" name="password"/>
        </div>
        <div>
            <input type="checkbox" name="remember-me"/> Remember me
        </div>
        <div>
            <button type="submit">Log in</button>
        </div>
    </form>
    
    </body>
    </html>

在上述代码中，我们添加了一个 Remember-Me 复选框，然后处理登录页面的表单提交。如果用户选中了 Remember-Me 复选框，在成功登录后，Spring Security 会在用户的浏览器中存储一个包含凭证信息的 Cookie，下次用户访问网站时，Spring Security 会自动使用该 Cookie 中的凭证信息完成登录过程。

### CSRF 防护 ###

CSRF（Cross Site Request Forgery，跨站请求伪造）是一种常见的网络攻击方式，攻击者通过伪造用户请求来执行未经授权的操作。针对 CSRF 攻击，Spring Security 提供了 CSRF 防护的功能。

1.启用 CSRF 防护

要启用 CSRF 防护功能，只需要在 Spring Security 配置文件中添加如下代码：

<sec:http auto-config="true">
        <sec:form-login login-page="/login" login-processing-url="/doLogin" default-target-url="/" authentication-failure-url="/login?error=true"/>
        <sec:logout logout-url="/logout" logout-success-url="/" invalidate-session="true"/>
        <sec:csrf/>
        
    </sec:http>

这里使用了 `csrf` 元素来开启 CSRF 防护功能。

2.防止 CSRF 攻击

在 Web 应用程序中，可以通过添加 CSRF Token 来防止 CSRF 攻击。Spring Security 提供了多种方式来获取 CSRF Token，例如：

<!DOCTYPE html>
    <html lang="en" xmlns:th="http://www.thymeleaf.org">
    <head>
        <meta charset="UTF-8">
        <title>Spring Security Example</title>
    </head>
    <body>
    
    <h1>Welcome!</h1>
    
    <form th:action="@{/doSomething}" method="post">
        <input type="hidden" th:name="${_csrf.parameterName}" th:value="${_csrf.token}"/>
        <div>
            <button type="submit">Do Something</button>
        </div>
    </form>
    
    </body>
    </html>

[245df821c3d0cc45b830e71084971203.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/24/df3495f82e774c548478dfb1cded8dc2.png