devbox
小惠珠哦
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

java使用spirng框架之spring security_adminsecurityconfiguration

作者：小惠珠哦 | 2024-08-03 07:11:00

赞

踩

adminsecurityconfiguration

spring security 核心功能

  • 认证
  • 授权
  • 攻击防护

使用

引入pom依赖

  1. 		<dependency>
  2. 			<groupId>org.springframework.boot</groupId>
  3. 			<artifactId>spring-boot-starter-security</artifactId>
  4. 		</dependency>

有两种授权认证方式

  1. 基于内存
  2. 基于数据库

一、基于内存的认证

1、创建类继承WebSecurityConfigurerAdapter重写两个configure方法

一个是配置AuthenticationManagerBuilder（添加用户），另一个配置HttpSecurity

  1.  
  2.  
  3. /**
  4.  * 多Security安全配置
  5.  */
  6. @Configuration
  7. public class MuitSecurityConfiguration{
  8. 	/**
  9. 	 * 定义默认的加密方式为不加密
  10. 	 * @return
  11. 	 */
  12. 	@Bean
  13. 	PasswordEncoder passwordEncoder(){
  14. 		return NoOpPasswordEncoder.getInstance();
  15. 	}
  16.  
  17. 	/**
  18. 	 *管理员安全配置
  19. 	 */
  20. 	@Configuration
  21. 	@Order(1)//数字越小优先级高，没有order注解，优先级最低
  22. 	class AdminSecurityConfiguration extends WebSecurityConfigurerAdapter {
  23. 		@Override
  24. 		protected void configure(AuthenticationManagerBuilder auth) throws Exception {
  25. 			//创建一个用户admin，并赋予md5密码和admin角色(角色前面需要加ROLE_)
  26. 			User user=new User("admin","202cb962ac59075b964b07152d234b70", Arrays.asList(new SimpleGrantedAuthority("ROLE_admin")));
  27. 			//使用基于内存认证方式
  28. 			//第一种 使用UserDetails
  29. 			auth.inMemoryAuthentication()
  30. 					.withUser(user).passwordEncoder(new MessageDigestPasswordEncoder("MD5"));//添加一个用户admin,并设置密码加密方式md5
  31. 		}
  32. 		@Override
  33. 		protected void configure(HttpSecurity http) throws Exception {
  34. 				http.csrf().disable()//禁用csrf跨站脚本攻击防御
  35. 					.formLogin()//登录
  36. 						//.loginPage("/login.html")//登录页面地址（未登录重定向的路径）
  37. 						.loginProcessingUrl("/login")//登录接口（处理认证请求的路径,表单form中action的地址
  38. 						.usernameParameter("username")//登录接口参数名username
  39. 						.passwordParameter("password")//登录接口参数名password
  40. 						.defaultSuccessUrl("/index.html")//登录成功后的页面
  41. 						.successHandler(new MyAuthenticationSuccessHandler())//登录成功后处理逻辑
  42. 						.failureHandler(new MyAuthenticationFailureHandler())//登录失败后处理逻辑
  43. 						.permitAll()//不需要通过验证就能访问
  44. 					.and()
  45. 					.authorizeRequests()//请求验证
  46. 						.antMatchers("/**.css","/**.js").permitAll()//css文件和js文件都运行访问
  47. 						.antMatchers("/user/**").hasAnyRole("admin","user")//有admin或user的角色才能访问/user前缀的url
  48. 						.antMatchers("/db/**").hasAnyAuthority("db")//有访问db资源权限的用户才能访问/user前缀的url
  49. 						.anyRequest().authenticated()//其他的请求都需要登录后才能访问
  50. 					.and()
  51. 					.logout()//退出登录
  52. 					.logoutUrl("/logout")//退出登录请求的url
  53. 					.clearAuthentication(true)//清除身份认证信息
  54. 					.invalidateHttpSession(true)//清除session
  55. 					.logoutSuccessHandler(new MySimpleUrlLogoutSuccessHandler());//退出登录后处理逻辑
  56. 		}
  57. 	}
  58. 	/**
  59. 	 *普通用户单独安全配置
  60. 	 */
  61. 	@Configuration
  62. 	public class OtherSecurityConfiguration extends WebSecurityConfigurerAdapter {
  63. 		@Override
  64. 		protected void configure(AuthenticationManagerBuilder auth) throws Exception {
  65. 			//第二种 使用UserDetailsBuilder和上面Bean的空密码加密方式
  66. 			auth.inMemoryAuthentication()
  67. 					.withUser("user").password("123").roles("user")//添加一个用户user,密码123，并赋予user角色
  68. 					.and()
  69. 					.withUser("db").password("123").authorities("db");//添加一个用户db,密码123，并赋予访问db资源的权限
  70. 		}
  71.  
  72. 		@Override
  73. 		protected void configure(HttpSecurity http) throws Exception {
  74. 			http.authorizeRequests()//请求验证
  75. 					.antMatchers("/**.css","/**.js").permitAll()//css文件和js文件都运行访问
  76. 					.antMatchers("/admin/**").hasRole("admin")//有admin的角色才能访问/admin前缀的url
  77. 					.anyRequest().authenticated();//其他的请求都需要登录后才能访问
  78. 		}
  79. 	}
  80.  
  81. }

2、创建自定义处理类：

  1. 	/**
  2. 	 * 自定义登录成功处理类
  3. 	 */
  4. 	class  MyAuthenticationSuccessHandler extends SimpleUrlAuthenticationSuccessHandler{
  5. 		public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
  6. 			System.out.println("自定义的成功处理逻辑");
  7. 			//第一种 重定向到defaultSuccessUrl成功页面（适合传统项目）
  8. 			//super.onAuthenticationSuccess(request, response, authentication);
  9.  
  10. 			//第二种 或是返回json串登录成功（适合前后端分离项目）
  11. 			response.setContentType("text/html;charset=utf-8");
  12. 			PrintWriter writer = response.getWriter();
  13. 			HashMap<String, Object> map = new HashMap<>();
  14. 			map.put("code",0);
  15. 			map.put("message","登录成功");
  16. 			writer.write(new ObjectMapper().writeValueAsString(map));
  17. 			writer.flush();
  18. 			writer.close();
  19. 		}
  20. 	}
  21.  
  22. 	/**
  23. 	 * 自定义登录失败处理类
  24. 	 */
  25. 	class  MyAuthenticationFailureHandler extends SimpleUrlAuthenticationFailureHandler {
  26. 		@Override
  27. 		public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
  28. 			System.out.println("自定义的失败处理逻辑");
  29. 			//第一种 重定向到失败页面（适合传统项目）
  30. 			//super.onAuthenticationFailure(request, response, exception);
  31.  
  32. 			//第二种 或是返回json串登录失败及原因（适合前后端分离项目）
  33. 			response.setContentType("text/html;charset=utf-8");
  34. 			PrintWriter writer = response.getWriter();
  35. 			response.setStatus(401);
  36. 			HashMap<String, Object> map = new HashMap<>();
  37. 			map.put("code",401);
  38. 			if(exception instanceof LockedException){
  39. 				map.put("message","账户已锁定，登录失败");
  40. 			}else if(exception instanceof BadCredentialsException){
  41. 				map.put("message","用户名或密码错误，登录失败");
  42. 			}else if(exception instanceof DisabledException){
  43. 				map.put("message","账户已禁用，登录失败");
  44. 			}else if(exception instanceof AccountExpiredException){
  45. 				map.put("message","账户已过期，登录失败");
  46. 			}else if(exception instanceof CredentialsExpiredException){
  47. 				map.put("message","密码已过期，登录失败");
  48. 			}else{
  49. 				map.put("message","登录失败");
  50. 			}
  51. 			writer.write(new ObjectMapper().writeValueAsString(map));
  52. 			writer.flush();
  53. 			writer.close();
  54. 		}
  55. 	}
  56. 	/**
  57. 	 * 自定义退出登录成功处理类
  58. 	 */
  59. 	class  MySimpleUrlLogoutSuccessHandler extends SimpleUrlLogoutSuccessHandler {
  60. 		@Override
  61. 		public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
  62. 			System.out.println("自定义的退出登录处理逻辑");
  63. 			//第一种 重定向到退出成功的页面（适合传统项目）
  64. 			//super.onLogoutSuccess(request, response, authentication);
  65.  
  66. 			//第二种 或是返回json串登录成功（适合前后端分离项目）
  67. 			response.setContentType("text/html;charset=utf-8");
  68. 			PrintWriter writer = response.getWriter();
  69. 			HashMap<String, Object> map = new HashMap<>();
  70. 			map.put("code",0);
  71. 			map.put("message","退出登录成功");
  72. 			writer.write(new ObjectMapper().writeValueAsString(map));
  73. 			writer.flush();
  74. 			writer.close();
  75. 		}
  76. 	}

3、创建controller接口测试

  1.     @RequestMapping("/admin/get")
  2.     public String  test2() {
  3.         return  "hello admin";
  4.     }
  5.     @RequestMapping("/user/get")
  6.     public String  test3() {
  7.         return  "hello user";
  8.     }
  9.     @RequestMapping("/db/get")
  10.     public String  test4() {
  11.         return  "hello db";
  12.     }

二、基于数据库的认证方式

1、创建user实体，实现UserDetails接口（也可以不用实现，只是第二步会有一点改变）

  1. @Entity
  2. @Table(name = "my_user")
  3. public class User implements UserDetails {
  4.  
  5.     @Id
  6.     @GeneratedValue(strategy = GenerationType.AUTO)
  7.     @SequenceGenerator(name = "User_SEQ")
  8.     @Column(name = "ID")
  9.     private Long id;
  10.  
  11.     @Column(name = "username")
  12.     private String username;//用户名
  13.  
  14.     @Column(name = "password")
  15.     private String password;//密码
  16.  
  17.     @Transient
  18.     private Set<GrantedAuthority> authorities;//角色
  19.  
  20.     @Column(name = "accountNonExpired")
  21.     private Boolean accountNonExpired;//账户没有过期
  22.  
  23.     @Column(name = "accountNonLocked")
  24.     private Boolean accountNonLocked;//账户没有锁定
  25.  
  26.     @Column(name = "credentialsNonExpired")
  27.     private Boolean credentialsNonExpired;//密码没有过期
  28.  
  29.     @Column(name = "enabled")
  30.     private Boolean enabled;//账户可用
  31.     public Long getId() {
  32.         return id;
  33.     }
  34.  
  35.     public void setId(Long id) {
  36.         this.id = id;
  37.     }
  38.  
  39.     public void setPassword(String password) {
  40.         this.password = password;
  41.     }
  42.  
  43.     @Override
  44.     public Collection<? extends GrantedAuthority> getAuthorities() {
  45.         return authorities;
  46.     }
  47.  
  48.     @Override
  49.     public String getPassword() {
  50.         return password;
  51.     }
  52.  
  53.     @Override
  54.     public String getUsername() {
  55.         return username;
  56.     }
  57.  
  58.     public void setUsername(String username) {
  59.         this.username = username;
  60.     }
  61.  
  62.     public void setAuthorities(Set<GrantedAuthority> authorities) {
  63.         this.authorities = authorities;
  64.     }
  65.  
  66.     public Boolean getAccountNonExpired() {
  67.         return accountNonExpired;
  68.     }
  69.  
  70.     public void setAccountNonExpired(Boolean accountNonExpired) {
  71.         this.accountNonExpired = accountNonExpired;
  72.     }
  73.  
  74.     public Boolean getAccountNonLocked() {
  75.         return accountNonLocked;
  76.     }
  77.  
  78.     public void setAccountNonLocked(Boolean accountNonLocked) {
  79.         this.accountNonLocked = accountNonLocked;
  80.     }
  81.  
  82.     public Boolean getCredentialsNonExpired() {
  83.         return credentialsNonExpired;
  84.     }
  85.  
  86.     public void setCredentialsNonExpired(Boolean credentialsNonExpired) {
  87.         this.credentialsNonExpired = credentialsNonExpired;
  88.     }
  89.  
  90.     public Boolean getEnabled() {
  91.         return enabled;
  92.     }
  93.  
  94.     public void setEnabled(Boolean enabled) {
  95.         this.enabled = enabled;
  96.     }
  97.  
  98.     @Override
  99.     public boolean isAccountNonExpired() {
  100.         return accountNonExpired;
  101.     }
  102.  
  103.     @Override
  104.     public boolean isAccountNonLocked() {
  105.         return accountNonLocked;
  106.     }
  107.  
  108.     @Override
  109.     public boolean isCredentialsNonExpired() {
  110.         return credentialsNonExpired;
  111.     }
  112.  
  113.     @Override
  114.     public boolean isEnabled() {
  115.         return enabled;
  116.     }
  117. }

 2、添加repository写一个根据username查询用户的sql，以下是heirbnate的写法，也可用mybatis

  1.  
  2. public interface UserRepository extends CrudRepository<User, Long> {
  3.     User findByUsername(String username);//根据用户名查询
  4. }

3、添加service接口，继承UserDetailsService。或者serviceImpl实现UserDetailsService也行

  1. public interface UserService extends UserDetailsService {
  2. }

4、 添加serviceImpl实现service。重写loadUserByUsername方法

  1. @Service
  2. public class UserServiceImpl implements UserService {
  3.     @Autowired
  4.     UserRepository userRepository;
  5.  
  6.     @Override
  7.     public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
  8.         User user = userRepository.findByUsername(username);
  9.         if(user==null){
  10.             throw new UsernameNotFoundException("登录失败,用户名不存在!");
  11.         }
  12.         return user;
  13.         //如果用户没有实现UserDetails接口，则需要拼装org.springframework.security.core.userdetails.User类（UserDetails的实现类）再返回
  14.         //例如：
  15.         /*
  16.             User user=userRepository.findByUsername(username);
  17.             org.springframework.security.core.userdetails.User user2=new org.springframework.security.core.userdetails.User(user.getUsername(),user.getPassword(), Arrays.asList(new SimpleGrantedAuthority("ROLE_admin")));
  18.             return user2;
  19.         * */
  20.     }
  21. }

 用户登录时，security会调用loadUserByUsername方法去数据库查询数据

5、添加配置。auth.userDetailsService使用基于数据库的认证方式

  1. @Configuration
  2. public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
  3. 	@Autowired
  4. 	UserService userService;
  5. 	@Bean
  6. 	PasswordEncoder passwordEncoder(){
  7. 		return NoOpPasswordEncoder.getInstance();
  8. 	}
  9. 	@Override
  10. 	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
  11. 		auth.userDetailsService(userService);
  12. 	}
  13. 	@Override
  14. 	protected void configure(HttpSecurity http) throws Exception {
  15. 			//……胜率代码
  16. 	}
  17. }

6、添加数据库用户数据，实验登录

 

7、完毕

 

三、基于注解的拦截方式

以上都是基于url的拦截方式

还有一种基于注解的拦截方式，用于保护方法

1、添加@EnableGlobalMethodSecurity注解，prePostEnabled ,securedEnabled设置为true

  1. @SpringBootApplication
  2. //打开Security方法安全注解，可以使用@PreAuthorize、@PostAuthorize和@Secured注解
  3. @EnableGlobalMethodSecurity(prePostEnabled = true,securedEnabled = true)
  4. public class DemoApplication {
  5.  
  6. 	public static void main(String[] args) {
  7. 		SpringApplication.run(DemoApplication.class, args);
  8. 	}
  9.  
  10. }

2、在controller方法中添加 @PreAuthorize、@PostAuthorize、@Secured注解

  1.     @RequestMapping("/test")
  2.     @PreAuthorize("hasRole('normal') and hasRole('normal3')")//有normal和normal3角色才能访问此接口
  3.     public String  test() {
  4.         return  "hello normal and normal3";
  5.     }
  6.     @RequestMapping("/testt")
  7.     @PostAuthorize("hasAnyRole('admin','normal2')")//有normal1或normal2角色才能访问此接口
  8.     public String  testt() {
  9.         return  "hello admin or normal2";
  10.     }
  11.     @RequestMapping("/testtt")
  12.     @Secured("normal3")//有normal3角色才能访问此接口
  13.     public String  testtt() {
  14.         return  "hello normal3";
  15.     }

四、角色继承关系

     * 例如：admin角色同时具有db角色和user角色的权限
     * db角色同时具有user角色的权限

  1. 	/**
  2. 	 * 角色继承关系
  3. 	 * 例如：admin角色同时具有db角色和user角色的权限
  4. 	 * db角色同时具有user角色的权限
  5. 	 * @return
  6. 	 */
  7. 	@Bean
  8. 	RoleHierarchy roleHierarchy(){
  9. 		RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
  10. 		roleHierarchy.setHierarchy("ROLE_admin > ROLE_db ROLE_db > ROLE_user");
  11. 		return roleHierarchy;
  12. 	}

五、动态权限配置

以上权限都是写死在代码里，不够灵活，无法实现资源和角色的动态跳转

除此之外还可以自定义权限配置（记录在数据库表中），实现动态url权限

一、增加四个表

1、用户表sys_user (id、username、password)

对应数据库表增加一条测试数据admin

2、角色表sys_role (id、name)

对应数据库表增加一条测试数据admin

3、权限表sys_authority (id、code、url_pattern)

对应数据库表增加两条权限

4、用户角色权限关联表sys_user_role_authority  (id、user_id、role_id、authority_id)

对应数据库表增加两条关联数据 admin拥有admin角色和user角色

二、添加repository写一些查询

  1.  
  2. public interface UserRepository extends CrudRepository<User, Long> {
  3.     /**
  4.      * 根据用户名查询用户
  5.      * @param username
  6.      * @return
  7.      */
  8.     User findByUsername(String username);
  9.  
  10.     /**
  11.      * 根据用户名查询用户拥有的权限
  12.      * @param username
  13.      * @return
  14.      */
  15.     @Query("select u.authority from UserRoleAuthority u where  u.user.username=?1 ")
  16.     List<Authority> findAuthorityByUsername(String username);
  17.  
  18.     /**
  19.      * 查询所有的权限
  20.      * @return
  21.      */
  22.     @Query("from Authority")
  23.     List<Authority> findAllAuthority();
  24. }

三、自定义类实现FilterInvocationSecurityMetadataSource接口的getAttributes、getAllConfigAttributes和supports三个方法

  1. 	/**
  2. 	 * 自定义认证规则,
  3. 	 * 也就是用于加载URL与权限对应关系的
  4. 	 */
  5. 	@Configuration
  6. 	class MyFilterInvocationSecurityMetadataSource implements FilterInvocationSecurityMetadataSource {
  7. 		/**
  8. 		 * 定义成员变量spring的AntPathMatcher用来匹配url(构造方法设置分隔符)
  9. 		 */
  10. 		AntPathMatcher pathMatcher = new AntPathMatcher(AntPathMatcher.DEFAULT_PATH_SEPARATOR);
  11.  
  12. 		/**
  13. 		 * 获取某个受保护的安全对象object的所需要的权限信息,是一组ConfigAttribute对象的集合，
  14. 		 * 如果该安全对象object不被当前SecurityMetadataSource对象支持,则抛出异常IllegalArgumentException。
  15. 		 * 与supports配合使用
  16. 		 */
  17. 		@Override
  18. 		public Collection<ConfigAttribute> getAttributes(Object object) throws IllegalArgumentException {
  19. 			String requestUrl = ((FilterInvocation) object).getRequestUrl();//获取用户请求的路径
  20.  
  21. 			//应使用数据库查询角色和拦截路径的关系
  22. 			//查询出所有的url和和权限
  23. 			List<Authority> list = userRepository.findAllAuthority();
  24. 			List<ConfigAttribute> matchedList = new ArrayList<>();
  25. 			for (Authority authority : list) {
  26. 				if(pathMatcher.match(authority.getUrl_pattern(),requestUrl)){//进行url匹配规则校验
  27. 					matchedList.add(new SecurityConfig(authority.getCode()));
  28. 				}
  29. 			}
  30. 			if(!matchedList.isEmpty()){//如果规则能够匹配
  31. 				return matchedList;
  32. 			}
  33.  
  34. 			return SecurityConfig.createList("ROLE_LOGIN");
  35. 		}
  36.  
  37. 		/**
  38. 		 * 获取该SecurityMetadataSource对象中保存的针对所有安全对象的权限信息的集合。
  39. 		 * 该方法的主要目的是被AbstractSecurityInterceptor用于启动时校验每个ConfigAttribute对象。
  40. 		 * @return
  41. 		 */
  42. 		@Override
  43. 		public Collection<ConfigAttribute> getAllConfigAttributes() {
  44. 			return null;
  45. 		}
  46.  
  47. 		/**
  48. 		 * 用于告知调用者当前SecurityMetadataSource是否支持此类安全对象，只有支持的时候，才能对这类安全对象调用getAttributes方法
  49. 		 * @param clazz
  50. 		 * @return
  51. 		 */
  52. 		@Override
  53. 		public boolean supports(Class<?> clazz) {
  54. 			return true;
  55. 		}
  56. 	}

四、自定义类实现AccessDecisionManager接口的decide和supports方法

  1. /**
  2. 	 * 自定义的决策管理器,
  3. 	 * 用来决定对于一个用户的请求是否基于通过的中心控制
  4. 	 */
  5. 	class MyAccessDecisionManager implements AccessDecisionManager{
  6. 		/**
  7. 		 * 对比决策.如果当前用户允许登录，那么直接return即可。
  8. 		 * 如果当前用户不许运行登录，则抛出一个 AccessDeniedException异常。
  9. 		 * @param authentication 当前登录用户信息
  10. 		 * @param configAttributes SecurityMetadataSource.getAttributes() 方法获取这个URL相关的权限
  11. 		 */
  12. 		@Override
  13. 		public void decide(Authentication authentication, Object object, Collection<ConfigAttribute> configAttributes) throws AccessDeniedException, InsufficientAuthenticationException {
  14. 			//非空判断
  15. 			if(configAttributes.isEmpty()){
  16. 				return;
  17. 			}
  18. 			//获取访问此url所需要的权限集合
  19. 			Iterator<ConfigAttribute> iterator = configAttributes.iterator();
  20. 			while (iterator.hasNext()){
  21. 				ConfigAttribute configAttribute = iterator.next();
  22. 				//获取当前用户的权限和url权限集合进行比较。如果运行则return，否则抛出异常
  23. 				for (GrantedAuthority authority : authentication.getAuthorities()) {
  24. 					if(authority.getAuthority().equals(configAttribute.getAttribute())){
  25. 						return;
  26. 					}
  27. 				}
  28. 			}
  29. 			throw new AccessDeniedException("No Authority");
  30. 		}
  31.  
  32. 		@Override
  33. 		public boolean supports(ConfigAttribute attribute) {
  34. 			return true;
  35. 		}
  36.  
  37. 		@Override
  38. 		public boolean supports(Class<?> clazz) {
  39. 			return true;
  40. 		}
  41. 	}

五、增加config配置

  1.  
  2. @Configuration
  3. public class SecurityConfiguration extends WebSecurityConfigurerAdapter{
  4. 	@Autowired
  5. 	UserService userService;
  6. 	@Autowired
  7. 	UserRepository userRepository;
  8. 	@Bean
  9. 	PasswordEncoder passwordEncoder(){
  10. 		return NoOpPasswordEncoder.getInstance();
  11. 	}
  12.  
  13. 	@Override
  14. 	protected void configure(AuthenticationManagerBuilder auth) throws Exception {
  15. 		auth.userDetailsService(userService);
  16. 	}
  17. 	@Override
  18. 	protected void configure(HttpSecurity http) throws Exception {
  19. 		http.csrf().disable()//禁用csrf跨站脚本攻击防御
  20. 				.formLogin()//登录
  21. 				.permitAll()//不需要通过验证就能访问
  22. 				.and()
  23. 				.authorizeRequests()//请求验证
  24. 				.antMatchers("/**.css","/**.js").permitAll()//css文件和js文件都运行访问
  25. 				.withObjectPostProcessor(new ObjectPostProcessor<FilterSecurityInterceptor>() {
  26. 					@Override
  27. 					public <O extends FilterSecurityInterceptor> O postProcess(O object) {
  28. 						object.setAccessDecisionManager(new MyAccessDecisionManager());//注入用户登录权限
  29. 						object.setSecurityMetadataSource(new MyFilterInvocationSecurityMetadataSource());//注入用户所请求的地址所需要的权限
  30. 						return object;
  31. 					}
  32. 				})
  33. 				.anyRequest().authenticated()//其他的请求都需要登录后才能访问
  34. 				.and()
  35. 				.logout()//退出登录
  36. 				.logoutUrl("/logout")//退出登录请求的url
  37. 				.clearAuthentication(true)//清除身份认证信息
  38. 				.invalidateHttpSession(true);//清除session
  39. 	}
  40. }

六、登录测试admin

访问/admin/get可以访问

访问/db/get,报错403

本文内容由网友自发贡献，转载请注明出处：【wpsshop博客】
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号