devbox
菜鸟追梦旅行
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

Spring Security详解（二）认证之核心配置详解_webinvocationprivilegeevaluator

作者：菜鸟追梦旅行 | 2024-05-04 10:36:43

赞

踩

webinvocationprivilegeevaluator

Spring Security详解（二）认证之核心配置详解

本文链接：https://blog.csdn.net/sinat_29899265/article/details/80736498

2.核心配置解读

2.1 导读

这是Spring Security入门指南中表单登陆的基本配置： 

  1. @EnableWebSecurity
  2. @EnableGlobalMethodSecurity(prePostEnabled = true)
  3. ​​​​public class SecurityConfig extends WebSecurityConfigurerAdapter {
  4.  
  5. 	@Override
  6. 	protected void configure(HttpSecurity http) throws Exception {
  7. 		http
  8.                     .authorizeRequests()
  9.                         .antMatchers("/", "/home").permitAll()
  10.                         .anyRequest().authenticated()
  11.                         .and()
  12.                     .formLogin()
  13.                         .loginPage("/login")
  14.                         .failureUrl("/error")
  15.                         .permitAll()
  16.                         .and()
  17.                     .logout()
  18.                         .permitAll();	
  19. 	}
  20.  
  21. 	@Autowired
  22. 	public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
  23. 		auth
  24. 			.inMemoryAuthentication()
  25. 				.withUser("user").password("password").roles("USER");
  26. 	}
  27. }

 

首先解释一下类上面的配置：

  • @EnableWebSecurity:禁用Boot的默认Security配置，配合@Configuration启用自定义配置（需要扩展WebSecurityConfigurerAdapter）
  • @EnableGlobalMethodSecurity(prePostEnabled = true): 启用Security注解，例如最常用的@PreAuthorize。

接下来我们解释一下这样配置的作用：

  • 除了“/”,”/home”(首页),”/login”(登录),”/logout”(注销),之外，其他路径都需要认证。
  • 指定“/login”该路径为登录页面，当未认证的用户尝试访问任何受保护的资源时，都会跳转到“/login”。
  • 指定“/error”为错误页面，当有异常抛出时，跳转到“/error”。
  • 默认指定“/logout”为注销页面。
  • 配置一个内存中的用户认证器，使用admin/admin作为用户名和密码，具有USER角色。

2.2 EnableWebSecurity

    1. @Import({ WebSecurityConfiguration.class,
    2. 		SpringWebMvcImportSelector.class })
    3. @EnableGlobalAuthentication
    4. @Configuration
    5. public @interface EnableWebSecurity {
    6. 	boolean debug() default false;
    7. }

     

  • @Import是用于Spring Boot提供的引入外部配置的注解
  • SpringWebMvcImportSelector的作用是判断当前的环境是否包含springmvc，因为spring security可以在非spring环境下使用，为了避免DispatcherServlet的重复配置，所以使用了这个注解来区分。
  • @EnableGlobalAuthentication注解的源码如下：
  1. @Import(AuthenticationConfiguration.class)
  2. @Configuration
  3. public @interface EnableGlobalAuthentication {
  4. }

可以看出，这个注解引入了AuthenticationConfiguration配置。而这个类用来配置认证相关，主要任务就是生成全局的身份认证管理者。AuthenticationManager：

  1. @Configuration
  2. @Import(ObjectPostProcessorConfiguration.class)
  3. public class AuthenticationConfiguration {
  4.  
  5.     private AuthenticationManager authenticationManager;
  6.  
  7.   	@Bean
  8. 	public AuthenticationManagerBuilder authenticationManagerBuilder(
  9. 			ObjectPostProcessor<Object> objectPostProcessor) {
  10. 		return new AuthenticationManagerBuilder(objectPostProcessor);
  11. 	}
  12.   
  13.   	public AuthenticationManager getAuthenticationManager() throws Exception {
  14.     	...
  15.     }
  16.  
  17. }
  • WebSecurityConfiguration用来配置web安全。在这个类中有一个非常重要的Bean被注册了。
  1. @Configuration
  2. public class WebSecurityConfiguration implements ImportAware, BeanClassLoaderAware {
  3.  
  4. 	/**
  5. 	 * Creates the Spring Security Filter Chain
  6. 	 * @return
  7. 	 * @throws Exception
  8. 	 */
  9. 	@Bean(name = AbstractSecurityWebApplicationInitializer.DEFAULT_FILTER_NAME)
  10. 	public Filter springSecurityFilterChain() throws Exception {
  11. 		boolean hasConfigurers = webSecurityConfigurers != null
  12. 				&& !webSecurityConfigurers.isEmpty();
  13. 		if (!hasConfigurers) {
  14. 			WebSecurityConfigurerAdapter adapter = objectObjectPostProcessor
  15. 					.postProcess(new WebSecurityConfigurerAdapter() {
  16. 					});
  17. 			webSecurity.apply(adapter);
  18. 		}
  19. 		return webSecurity.build();
  20. 	}
  21. }

在未使用springboot之前,在XML配置中，想要启用spring security，需要在web.xml中进行如下配置:

  1.    <filter>
  2.        <filter-name>springSecurityFilterChain</filter-name>
  3.        <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
  4.    </filter>
  5.  
  6.    <filter-mapping>
  7.        <filter-name>springSecurityFilterChain</filter-name>
  8.        <url-pattern>/*</url-pattern>
  9.    </filter-mapping>

而众所周知，SpringSecurityFilterChain是Spring Security认证的入口。集成Spring Boot集成之后，xml配置被java注解配置取代，也就是在WebSecurityConfiguration中完成了声明springSecurityFilterChain的作用。并且最终交给DelegatingFilterProxy这个代理类，负责拦截请求。

也就是说：@EnableWebSecurity完成的工作便是加载了WebSecurityConfiguration，AuthenticationConfiguration这两个核心配置类，也就此将spring security的职责划分为了配置安全信息，配置认证信息两部分。

2.3 WebSecurityConfigurerAdapter

WebSecurityConfigurerAdapter提供了三个configure方法，是我们需要关心的：

这里写图片描述

可以看出，分别是对AuthenticationManagerBuilder，WebSecurity，HttpSecurity进行个性化的配置。

HttpSecurity

常用配置：

  1. @Configuration
  2. @EnableWebSecurity
  3. public class CustomWebSecurityConfig extends WebSecurityConfigurerAdapter {
  4.   
  5.     @Override
  6.     protected void configure(HttpSecurity http) throws Exception {
  7.         http
  8.             .authorizeRequests()
  9.                 .antMatchers("/resources/**", "/signup", "/about").permitAll()
  10.                 .antMatchers("/admin/**").hasRole("ADMIN")
  11.                 .antMatchers("/db/**").access("hasRole('ADMIN') and hasRole('DBA')")
  12.                 .anyRequest().authenticated()
  13.                 .and()
  14.             .formLogin()
  15.                 .usernameParameter("username")
  16.                 .passwordParameter("password")
  17.                 .failureForwardUrl("/login?error")
  18.                 .loginPage("/login")
  19.                 .permitAll()
  20.                 .and()
  21.             .logout()
  22.                 .logoutUrl("/logout")
  23.                 .logoutSuccessUrl("/index")
  24.                 .permitAll()
  25.                 .and()
  26.             .httpBasic()
  27.                 .disable();
  28.     }
  29. }

上述是一个使用Java Configuration配置HttpSecurity的典型配置，其中http作为根开始配置，每一个and()对应了一个模块的配置（等同于xml配置中的结束标签），并且and()返回了HttpSecurity本身，于是可以连续进行配置。他们配置的含义也非常容易通过变量本身来推测。

  • authorizeRequests()配置路径拦截，表明路径访问所对应的权限，角色，认证信息。
  • formLogin()对应表单认证相关的配置
  • logout()对应了注销相关的配置
  • httpBasic()可以配置basic登录
  • etc

他们分别代表了http请求相关的安全配置，这些配置项无一例外的返回了Configurer类，而所有的http相关配置可以通过查看HttpSecurity的主要方法得知：
这里写图片描述

WebSecurity

  1. public final class WebSecurity  {
  2.     //全局请求忽略规则配置（比如说静态文件，比如说注册页面）
  3. 	public IgnoredRequestConfigurer ignoring() {
  4. 		return ignoredRequestRegistry;
  5. 	}
  6.     //全局http防火墙配置
  7. 	public WebSecurity httpFirewall(HttpFirewall httpFirewall) {
  8. 		this.httpFirewall = httpFirewall;
  9. 		return this;
  10. 	}
  11.     //是否debug配置
  12. 	public WebSecurity debug(boolean debugEnabled) {
  13. 		this.debugEnabled = debugEnabled;
  14. 		return this;
  15. 	}
  16.  
  17.     //全局SecurityFilterChain配置
  18. 	public WebSecurity addSecurityFilterChainBuilder(
  19. 			SecurityBuilder<? extends SecurityFilterChain> securityFilterChainBuilder) {
  20. 		this.securityFilterChainBuilders.add(securityFilterChainBuilder);
  21. 		return this;
  22. 	}
  23.     //web权限评估器，默认DefaultWebInvocationPrivilegeEvaluator
  24. 	public WebSecurity privilegeEvaluator(
  25. 			WebInvocationPrivilegeEvaluator privilegeEvaluator) {
  26. 		this.privilegeEvaluator = privilegeEvaluator;
  27. 		return this;
  28. 	}
  29.  
  30.     //设置表达式处理器,默认DefaultWebSecurityExpressionHandler
  31. 	public WebSecurity expressionHandler(
  32. 			SecurityExpressionHandler<FilterInvocation> expressionHandler) {
  33. 		Assert.notNull(expressionHandler, "expressionHandler cannot be null");
  34. 		this.expressionHandler = expressionHandler;
  35. 		return this;
  36. 	}
  37. }

一般只有ignoring()配置需要重写：

  1. @Configuration
  2. @EnableWebSecurity
  3. public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
  4.     @Override
  5.     public void configure(WebSecurity web) throws Exception {
  6.         web
  7.             .ignoring()
  8.             .antMatchers("/static/**");
  9.     }
  10. }

AuthenticationManagerBuilder

主要的方法：

  1. public class AuthenticationManagerBuilder {
  2.     //配置父AuthenticationManager
  3. 	public AuthenticationManagerBuilder parentAuthenticationManager(
  4. 			AuthenticationManager authenticationManager) {
  5. 		...
  6. 	}
  7.     //配置事件发布器
  8. 	public AuthenticationManagerBuilder authenticationEventPublisher(
  9. 			AuthenticationEventPublisher eventPublisher) {
  10. 		...
  11. 	}
  12.     //认证结束后是否删除密码凭证
  13. 	public AuthenticationManagerBuilder eraseCredentials(boolean eraseCredentials) {
  14. 		...
  15. 	}
  16.     //配置内存用户
  17. 	public InMemoryUserDetailsManagerConfigurer<AuthenticationManagerBuilder> inMemoryAuthentication()
  18. 			throws Exception {
  19. 		return apply(new InMemoryUserDetailsManagerConfigurer<>());
  20. 	}
  21.     //配置数据库用户
  22. 	public JdbcUserDetailsManagerConfigurer<AuthenticationManagerBuilder> jdbcAuthentication()
  23. 			throws Exception {
  24. 		return apply(new JdbcUserDetailsManagerConfigurer<>());
  25. 	}
  26.     //配置userDetailService
  27. 	public <T extends UserDetailsService> DaoAuthenticationConfigurer<AuthenticationManagerBuilder, T> userDetailsService(
  28. 			T userDetailsService) throws Exception {
  29. 		...
  30. 	}
  31.     //配置authenticationProvider
  32. 	public AuthenticationManagerBuilder authenticationProvider(
  33. 			AuthenticationProvider authenticationProvider) {
  34. 		this.authenticationProviders.add(authenticationProvider);
  35. 		return this;
  36. 	}
  37. }

具体根据实际情况进行配置，注意：UserDetailService会默认加载DaoAuthenticationProvider。

  1. @Override
  2. protected void configure(AuthenticationManagerBuilder auth) throws Exception {
  3.     auth.userDetailsService(jwtUserDetailsServiceImpl()).passwordEncoder(passwordEncoder());
  4. }

这里还要做一个说明,AuthenticationManagerBuilder有两种配置方式，一种是如上，还有一种是文章开头的配置，如果你的应用只有唯一一个WebSecurityConfigurerAdapter，那么他们之间的差距可以被忽略，从方法名可以看出两者的区别：使用@Autowired注入的AuthenticationManagerBuilder是全局的身份认证器，作用域可以跨越多个WebSecurityConfigurerAdapter，以及影响到基于Method的安全控制；而 protected configure()的方式则类似于一个匿名内部类，它的作用域局限于一个WebSecurityConfigurerAdapter内部。

2.4 配置多个httpSecurity

我们可以配置多个HttpSecurity实例，就像我们可以有多个块. 关键在于对WebSecurityConfigurationAdapter进行多次扩展。例如下面是一个对/api/开头的URL进行的不同的设置。

  1. @EnableWebSecurity
  2. public class MultiHttpSecurityConfig {
  3. 	@Bean          //<1>                                       
  4. 	public UserDetailsService userDetailsService() throws Exception {
  5. 		// ensure the passwords are encoded properly
  6. 		UserBuilder users = User.withDefaultPasswordEncoder();
  7. 		InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
  8. 		manager.createUser(users.username("user").password("password").roles("USER").build());
  9. 		manager.createUser(users.username("admin").password("password").roles("USER","ADMIN").build());
  10. 		return manager;
  11. 	}
  12.  
  13. 	@Configuration
  14. 	@Order(1)                             //<2>
  15. 	public static class ApiWebSecurityConfigurationAdapter extends WebSecurityConfigurerAdapter {
  16. 		protected void configure(HttpSecurity http) throws Exception {
  17. 			http
  18. 				.antMatcher("/api/**")       //<3>
  19. 				.authorizeRequests()
  20. 					.anyRequest().hasRole("ADMIN")
  21. 					.and()
  22. 				.httpBasic();
  23. 		}
  24. 	}
  25.  
  26. 	@Configuration           <4>
  27. 	public static class FormLoginWebSecurityConfigurerAdapter extends WebSecurityConfigurerAdapter {
  28.  
  29. 		@Override
  30. 		protected void configure(HttpSecurity http) throws Exception {
  31. 			http
  32. 				.authorizeRequests()
  33. 					.anyRequest().authenticated()
  34. 					.and()
  35. 				.formLogin();
  36. 		}
  37. 	}
  38. }

<1> 配置正常的验证。
<2> 创建一个WebSecurityConfigurerAdapter，包含一个@Order注解，用来指定个哪一个WebSecurityConfigurerAdapter更优先。
<3> http.antMatcher指出，这个HttpSecurity只应用到以/api/开头的URL上。
<4> 创建另外一个WebSecurityConfigurerAdapter实例。用于不以/api/开头的URL，这个配置的顺序在ApiWebSecurityConfigurationAdapter之后，因为他没有指定@Order值为1(没有指定@Order默认会被放到最后).

参考 https://www.cnkirito.moe/spring-security-3/

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/菜鸟追梦旅行/article/detail/534088
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号