浅谈Spring Security入门

简介

Spring Security是Spring框架的安全性解决方案之一。它为Spring应用程序提供了身份验证、授权和其他安全功能。Spring Security是一种基于过滤器的安全性实现，可通过在Web应用程序中添加一组过滤器来提供许多基本的安全性机制，如基本认证、表单认证、单点登录等。

安装

在maven项目中，可以通过添加如下依赖来引入Spring Security:

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>${spring.security.version}</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>${spring.security.version}</version>
</dependency>

${spring.security.version}为Spring Security的版本号。

Spring Security基础配置

在Spring Security中，最基本的是对Web资源的安全配置，我们可以通过定义若干个security filter来控制对某个特定资源的访问。

在Spring Security中，一个security filter代表了对某种资源的一种特别过滤器，用来决定对当前请求是否授权。

我们可以通过在配置文件中定义security filter的链来构成Spring Security的安全控制的FilterChain。

下面是Spring Security的配置文件示例：

<?xml version="1.0" encoding="UTF-8"?>
<beans:beans xmlns="http://www.springframework.org/schema/security"
    xmlns:beans="http://www.springframework.org/schema/beans"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd
        http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd">

    <!-- 安全过滤器链配置 -->
    <http auto-config="true" use-expressions="true">
        <!-- 登录配置 -->
        <form-login
            login-page="/login"  <!-- 用户未登录时访问的页面 -->
            login-processing-url="/loginProcess"  <!-- 登录请求处理的url -->
            default-target-url="/index"  <!-- 登录成功后要转向的默认目标URL -->
            authentication-failure-url="/login?login_error=1"  <!-- 登录错误后要转向的URL -->
            password-parameter="j_password"  <!-- 表单中密码字段的name属性值 -->
            username-parameter="j_username"  <!-- 表单中账号字段的name属性值 -->
        />

        <!-- 登出配置 -->
        <logout
            logout-url="/logout"  <!-- 注销处理的url -->
            logout-success-url="/"  <!-- 注销成功后转向的页面 -->
        />

        <!-- 放行资源配置 -->
        <intercept-url pattern="/static/**" access="permitAll" />
        <intercept-url pattern="/login" access="permitAll" />
        <intercept-url pattern="/loginProcess" access="permitAll" />
        <intercept-url pattern="/**" access="hasRole('ROLE_ADMIN')" />

        <!-- 记住我（Remember-Me）的配置 -->
        <remember-me key="mySecurityKey" />

        <!-- Session管理器的配置 -->
        <session-management>
            <concurrency-control max-sessions="1"
                error-if-maximum-exceeded="true" />
        </session-management>

        <!-- 防止REST CSRF攻击 -->
        <csrf />

    </http>

    <!-- 用户认证 -->
    <authentication-manager>
        <authentication-provider>
            <password-encoder hash="md5" />
            <user-service>
                <user name="admin" password="21232f297a57a5a743894a0e4a801fc3" authorities="ROLE_ADMIN" />
            </user-service>
        </authentication-provider>
    </authentication-manager>

</beans:beans>

Spring Security使用示例

示例1：基本认证

基本认证是Web应用中最常用的一种认证方式，它通常要求用户提供用户名和密码，以此来验证用户的身份。

下面是一个基本认证举例：

首先，我们需要创建一个Spring Security配置类。该类应该扩展WebSecurityConfigurerAdapter类。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest()
                .authenticated()
                .and()
                .httpBasic();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("user")
                .password("{noop}password")
                .roles("USER");
    }
}

这里我们通过http.authorizeRequests()方法定义的表达式，配置Spring Security的安全性机制。.authenticated()方法要求所有的请求必须认证通过，httpBasic()方法启用基本认证。

httpBasic()也可以配置自定义的realm，如下：

@Bean
public BasicAuthenticationEntryPoint basicAuthenticationEntryPoint(){
    BasicAuthenticationEntryPoint basicAuthenticationEntryPoint = new BasicAuthenticationEntryPoint();
    basicAuthenticationEntryPoint.setRealmName("MY_TEST_REALM");
    return basicAuthenticationEntryPoint;
}

@Override
protected void configure(HttpSecurity http) throws Exception{
    http.httpBasic().authenticationEntryPoint(basicAuthenticationEntryPoint)
    .and()
    .authorizeRequests()
    .anyRequest().authenticated();
}

其中，basicAuthenticationEntryPoint()定义了BasicAuthenticationEntryPoint类型的Bean，该bean为基本认证提供了自定义的realm。在configure()方法中的http.httpBasic().authenticationEntryPoint()配置了基本认证的EntryPoint。

示例2：表单认证

表单认证是另一种常用的认证方式。它将用户名和密码作为表单中的参数，通过POST方法提交给服务器进行身份验证。

要使用表单认证，我们需要创建一个登录表单并将其绑定到Spring Security中的登录处理URL上。

示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest()
                .authenticated()
                .and()
                .formLogin()
                .loginPage("/login")
                .defaultSuccessUrl("/")
                .permitAll()
                .and()
                .logout()
                .logoutUrl("/logout")
                .logoutSuccessUrl("/")
                .permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("user")
                .password("{noop}password")
                .roles("USER");
    }
}

这里我们通过调用http.authorizeRequests()定义表达式，设置Spring Security的安全性机制。通过.autheticated()方法要求所有的请求都必须经过认证。.formLogin()方法启用表单认证，.loginPage()方法规定登录的页面，.defaultSuccessUrl()方法指定成功登录的页面，permitAll()方法表明登录和注销的页面都是允许的。.logout()方法指定了注销请求的URL和注销成功后的默认URL。