Java中Spring Security的实例详解

前言

Spring Security 是一个强大而灵活的框架，用于在 Java 应用程序中实现认证和授权。它可以与许多不同的身份验证和授权方案一起使用，因此可以适应广泛的需求。本文将介绍 Spring Security 的概念和用法，并提供两个基于 Spring Security 的示例。

Spring Security 概念

Spring Security 基于过滤器链，用于处理 Web 应用程序的安全性。它提供了一个灵活的框架，可以用来处理 Web 应用程序中的身份验证、授权和其他与安全有关的任务。下面是一些 Spring Security 的关键概念：

安全策略

Spring Security 使用安全策略来管理应用程序中的安全性。安全策略定义了谁可以访问应用程序的哪些部分，并为每个用户分配一组角色和权限。

用户

Spring Security 中的用户表示访问应用程序的人员。每个用户都必须有一个用户名和密码，以便进行身份验证。

用户存储和身份验证

Spring Security 支持多种方法来存储用户信息和进行身份验证。可以使用数据库、LDAP、硬编码用户等。

授权

Spring Security 使用授权机制来限制用户访问应用程序的部分或所有内容。授权通常与安全策略一起使用，以便为每个用户分配角色和权限。

Spring Security 示例

接下来，我们将使用两个示例来演示 Spring Security 的使用方法。示例包括：

1. 基于内存用户验证
2. 基于数据库用户验证

基于内存用户验证

在这个示例中，我们将学习如何在 Spring Security 中使用内存用户存储。我们将在 Web 应用程序中创建两个安全角色 ADMIN 和 USER，并为每个角色创建一个用户。在 web.xml 文件中配置 Spring Security 过滤器，以便在进行身份验证和授权之前过滤请求。

配置Spring Security

首先，在 pom.xml 文件中添加以下依赖：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-core</artifactId>
    <version>4.2.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-web</artifactId>
    <version>4.2.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-config</artifactId>
    <version>4.2.3.RELEASE</version>
</dependency>

然后，在 web.xml 文件中添加以下配置：

<!-- 配置 Spring Security 过滤器 -->
<filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

这将配置 Spring Security 过滤器，并将其应用于所有 URL。

配置 Spring Security 安全策略

接下来，我们将配置 Spring Security 安全策略。在 application-context.xml 文件中添加以下配置：

<security:http auto-config="true" use-expressions="true">
    <security:intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />
    <security:intercept-url pattern="/user/**" access="hasRole('ROLE_USER')" />
    <security:form-login login-page="/login" />
    <security:logout logout-url="/logout" />
</security:http>

<security:authentication-manager>
    <security:authentication-provider>
        <security:user-service>
            <security:user name="admin" password="admin" authorities="ROLE_ADMIN" />
            <security:user name="user" password="user" authorities="ROLE_USER" />
        </security:user-service>
    </security:authentication-provider>
</security:authentication-manager>

上面的配置定义了两个安全角色 ADMIN 和 USER，每个角色对应一个用户。安全策略配置了两个安全 URL，/admin/ 和 /user/，只有具有相应角色的用户才能访问。配置了一个表单登录页 /login 和一个注销 URL /logout。

编写登录页

编写登录页 login.jsp：

<form action="j_spring_security_check" method="post">
    <label>Username:</label>
    <input type="text" name="j_username" />

    <label>Password:</label>
    <input type="password" name="j_password" />

    <div>
        <input type="submit" value="Login" />
    </div>
</form>

测试示例

现在我们已经完成了 Spring Security 的配置和编写登录页。我们可以通过访问 URL localhost:8080/login 来访问登录页面。登录后，我们可以访问 URL localhost:8080/admin/index.jsp 或 localhost:8080/user/index.jsp。

基于数据库用户验证

在这个示例中，我们将学习如何在 Spring Security 中使用数据库用户存储。我们将使用 MySQL 数据库作为用户存储，使用 Spring Security 内置的 JdbcUserDetailsManager 类进行用户验证。

配置数据库

首先，在 MySQL 数据库中创建以下用户表并插入一些用户信息：

CREATE TABLE users (
    username varchar(50) not null primary key,
    password varchar(100) not null,
    enabled boolean not null,
    email varchar(100) not null
);

CREATE TABLE authorities (
    username varchar(50) not null,
    authority varchar(50) not null,
    constraint fk_authorities_users foreign key (username) references users(username)
);

INSERT INTO users (username, password, enabled, email) VALUES ('admin', 'admin', true, '[e-mail]');
INSERT INTO users (username, password, enabled, email) VALUES ('user', 'user', true, '[e-mail]');
INSERT INTO authorities (username, authority) VALUES ('admin', 'ROLE_ADMIN');
INSERT INTO authorities (username, authority) VALUES ('user', 'ROLE_USER');

配置 Spring Security

接下来，在 application-context.xml 文件中添加以下配置：

<bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource">
    <property name="driverClassName" value="com.mysql.jdbc.Driver" />
    <property name="url" value="jdbc:mysql://localhost:3306/test" />
    <property name="username" value="root" />
    <property name="password" value="123456" />
</bean>

<bean id="userDetailsManager" class="org.springframework.security.provisioning.JdbcUserDetailsManager">
    <property name="dataSource" ref="dataSource" />
    <property name="usersByUsernameQuery" value="select username,password,enabled from users where username = ?" />
    <property name="authoritiesByUsernameQuery" value="select username,authority from authorities where username = ?" />
    <property name="rolePrefix" value="ROLE_" />
</bean>

<bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder">
    <constructor-arg value="10" />
</bean>

<security:http auto-config="true" use-expressions="true">
    <security:intercept-url pattern="/admin/**" access="hasRole('ROLE_ADMIN')" />
    <security:intercept-url pattern="/user/**" access="hasRole('ROLE_USER')" />
    <security:form-login login-page="/login" />
    <security:logout logout-url="/logout" />
</security:http>

<security:authentication-manager>
    <security:authentication-provider user-service-ref="userDetailsManager">
        <security:password-encoder ref="passwordEncoder" />
    </security:authentication-provider>
</security:authentication-manager>

上面的配置中，我们使用 org.springframework.jdbc.datasource.DriverManagerDataSource 类创建一个 jdbc 连接。使用 org.springframework.security.provisioning.JdbcUserDetailsManager 类进行用户验证，用于与数据库进行交互。用 org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder 类实现密码的加密和解密。详细解释在Java 中的 BCryptPasswordEncoder文档中解释。

测试示例

现在我们已经完成了 Spring Security 的配置和编写登录页。我们可以通过访问 URL localhost:8080/login 来访问登录页面。登录后，我们可以访问 URL localhost:8080/admin/index.jsp 或 localhost:8080/user/index.jsp。

总结

本文介绍了 Spring Security 的概念和用法，并提供了两个基于 Spring Security 的示例。使用这些示例来积极学习和实践，帮助你更好地了解 Spring Security 的使用方法。