详解Spring Security如何配置JSON登录

下面是详解Spring Security如何配置JSON登录的完整攻略：

介绍

Spring Security是一个强大的安全框架，用于保护应用程序中的资源。其中一个常见的用例是，登录用户应该具有访问应用程序中受保护资源的权限。

在使用Spring Security时，常见的配置是使用基于表单的登录，其中用户输入其凭据（用户名和密码）并将其发送到后端以进行身份验证。但是，对于一些单页应用，我们可能希望使用JSON代替表单来登录。

在本攻略中，我们将演示如何使用JSON进行身份验证，包括构建一个自定义身份验证过滤器以支持JSON身份验证。我们使用Spring Security 5.2.2和Spring Boot 2.2.2进行示范。

步骤

步骤1：创建Spring Boot项目和依赖

首先，我们需要创建一个新的Spring Boot项目并添加Spring Security依赖。可以使用Spring Initializr快速启动一个新项目，添加以下依赖：

<dependency>
  <groupId>org.springframework.boot</groupId>
  <artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
  <groupId>org.springframework.boot</groupId>
  <artifactId>spring-boot-starter-security</artifactId>
</dependency>

步骤2：配置Spring Security

接下来，我们需要配置Spring Security以支持JSON身份验证。对于基于表单的身份验证，我们通常使用如下配置：

@Override
protected void configure(HttpSecurity http) throws Exception {
  http
    .authorizeRequests()
      .antMatchers("/login*", "/logout*", "/error*").permitAll()
      .anyRequest().authenticated()
      .and()
    .formLogin()
      .successHandler(mySuccessHandler)
      .loginPage("/login")
      .permitAll()
      .and()
    .logout()
      .deleteCookies("JSESSIONID")
      .logoutSuccessHandler(myLogoutSuccessHandler)
      .permitAll();
}

对于JSON身份验证，我们需要添加一个自定义身份验证过滤器。可以使用Spring Security的UsernamePasswordAuthenticationFilter作为基础，并将其扩展为支持JSON。

以下是Spring Security配置的示例代码：

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
  @Autowired
  private MyAuthenticationProvider authProvider;

  @Autowired
  private MyAuthSuccessHandler successHandler;

  @Autowired
  private MyAuthFailureHandler failureHandler;

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http
      .csrf().disable()
      .authorizeRequests().antMatchers("/api/login").permitAll().anyRequest().authenticated()
      .and()
      .formLogin().loginProcessingUrl("/api/login")
        .successHandler(successHandler)
        .failureHandler(failureHandler)
        .usernameParameter("username")
        .passwordParameter("password")
        .permitAll();
    http.addFilterBefore(jsonAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
  }

  private JsonAuthenticationFilter jsonAuthenticationFilter() throws Exception {
    JsonAuthenticationFilter filter = new JsonAuthenticationFilter(authenticationManager());
    filter.setAuthenticationSuccessHandler(successHandler);
    filter.setAuthenticationFailureHandler(failureHandler);
    return filter;
  }

  @Override
  protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    auth.authenticationProvider(authProvider);
  }
}

步骤3：创建自定义身份验证过滤器

接下来，我们需要创建一个自定义的身份验证过滤器来支持JSON身份验证。以下是代码示例：

public class JsonAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
  protected static final String LOGIN_URL = "/api/login";
  protected static final String USERNAME_PARAM = "username";
  protected static final String PASSWORD_PARAM = "password";
  protected static final String AUTHORIZATION_HEADER = "Authorization";

  private ObjectMapper objectMapper = new ObjectMapper();

  public JsonAuthenticationFilter(AuthenticationManager authenticationManager) {
    super.setAuthenticationManager(authenticationManager);
  }

  @Override
  public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
    if (!HttpMethod.POST.name().equals(request.getMethod()) || !LOGIN_URL.equals(request.getServletPath())) {
      throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod());
    }

    LoginRequest loginRequest;

    try {
      loginRequest = objectMapper.readValue(request.getInputStream(), LoginRequest.class);
    } catch (IOException e) {
      throw new RuntimeException("Unable to parse login request", e);
    }

    String username = loginRequest.getUsername();
    String password = loginRequest.getPassword();

    if (username == null) {
      username = "";
    }

    if (password == null) {
      password = "";
    }

    username = username.trim();

    UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(username, password);

    return this.getAuthenticationManager().authenticate(authenticationToken);
  }
}

该过滤器扩展了基于表单的身份验证过滤器UsernamePasswordAuthenticationFilter并覆盖了attemptAuthentication方法，以从JSON正文中读取用户名和密码。我们把请求路径设置为/api/login，这个路径用于接收JSON数据。

步骤4：创建登录请求和响应对象

我们还需要创建用于序列化/反序列化JSON请求和响应的Java对象。以下是代码示例：

public class LoginRequest {
  private String username;
  private String password;

  // getters and setters
}

public class LoginResponse {
  private String token;

  public LoginResponse(String token) {
    this.token = token;
  }

  // getter and setters
}

步骤5：实现身份验证提供程序

最后，我们需要实现身份验证提供程序来处理身份验证请求并检查用户凭证是否匹配。以下是代码示例：

@Component
public class MyAuthenticationProvider implements AuthenticationProvider {
  @Override
  public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    String username = authentication.getName();
    String password = authentication.getCredentials().toString();

    // do your authentication here...

    return new UsernamePasswordAuthenticationToken(username, password, Collections.emptyList());
  }

  @Override
  public boolean supports(Class<?> authentication) {
    return authentication.equals(UsernamePasswordAuthenticationToken.class);
  }
}

示例

为了演示如何使用JSON进行身份验证，我们将创建一个简单的HTTP端点，该端点需要认证访问。我们会使用Postman发送一个POST请求来测试JSON身份验证。

示例1：处理JSON身份验证请求

首先，我们将创建一个HTTP端点/api/test，它将受到保护，并需要认证访问。以下是测试类的代码：

@RestController
public class TestController {
  @GetMapping("/api/test")
  public String test() {
    return "Hello World";
  }
}

现在，我们将创建一个包含用户名和密码的JSON对象，并将其发送到API /api/login。

以下是JSON请求体内容：

{
  "username": "test",
  "password": "test"
}

我们将使用Postman发送POST请求，并使用以下选项：

请求URL：http://localhost:8080/api/login
请求体：JSON请求体内容
请求头：Content-Type: application/json

如果凭证有效，则服务器将返回一个JWT令牌，表示身份验证成功。以下是正确响应的示例：

{
  "token": "eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ0ZXN0IiwiaWF0IjoxNTg4NDYwNTIyLCJleHAiOjE1ODg0NjIwODJ9.0-1lhC3nmn4vAzDZ8OLmKHRy5KS-cPZWGJBrbW8tX3w"
}

如果凭证无效，则服务器将返回401未授权响应。以下是错误响应的示例：

{
  "timestamp": "2020-05-02T07:49:56.508+0000",
  "status": 401,
  "error": "Unauthorized",
  "message": "Bad credentials",
  "path": "/api/login"
}

示例2：访问受保护端点

接下来，我们将测试我们的受保护端点。我们将使用Postman发送GET请求，并使用以下选项：

请求URL：http://localhost:8080/api/test
请求头：Authorization: Bearer ${jwt}（${jwt}在响应的举例中已经给出）

如果JWT令牌有效，则服务器将返回“Hello World”。否则，服务器将返回401未授权响应。

结论

在本指南中，我们学习了如何使用JSON身份验证来保护Spring Boot应用程序的资源。我们创建了一个自定义的身份验证过滤器并实现了一个身份验证提供程序。我们演示了如何通过在Postman中发送JSON身份验证请求来检查我们的实现是否正确，并且查看了响应使用JWT令牌。

本站文章如无特殊说明，均为本站原创，如若转载，请注明出处：详解Spring Security如何配置JSON登录 - Python技术站