新版Spring Security6.2案例 - Authentication用户名密码

前言：

前面有翻译了新版Spring Security6.2架构，包括总体架构，Authentication和Authorization，感兴趣可以直接点链接，这篇翻译官网给出的关于Authentication的Username/Password这页。

首先呢，官网就直接给出了基于用户名和密码的认证的代码，可以说是spring security的一个入门小案例，表单登录，输入用户名密码，和内存中的用户名密码匹配，如果匹配了就会成功登录。

Username/Password Authentication

验证用户的最常用方法之一是验证用户名和密码。Spring Security为使用用户名和密码进行身份验证提供了全面的支持。可以通过以下方式配置用户名密码认证

@Configuration
@EnableWebSecurity
public class SecurityConfig {@Beanpublic SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {http.authorizeHttpRequests((authorize) -> authorize.anyRequest().authenticated()).httpBasic(Customizer.withDefaults()).formLogin(Customizer.withDefaults());return http.build();}@Beanpublic UserDetailsService userDetailsService() {UserDetails userDetails = User.withDefaultPasswordEncoder().username("user").password("password").roles("USER").build();return new InMemoryUserDetailsManager(userDetails);}}

前面的配置会自动向 SecurityFilterChain 注册内存中 UserDetailsService，将DaoAuthenticationProvider 注册到默认的 AuthenticationManager，并启用表单登录和 HTTP 基本身份验证。

官网这边也列举了很多例子，我这边也都附上了超链接，因为前面代码是表单登录的，所以优先把超链接第一点，"我想了解表单登录如何工作"这节翻译了。

要了解更多关于usernamepassword身份验证的信息，请考虑以下用例:

  • 我想了解表单登录如何工作
  • 我想了解HTTP基本身份验证如何工作
  • 我想了解DaoAuthenticationProvider如何工作
  • 我想在内存中管理用户
  • 我想管理数据库中的用户
  • 我想在LDAP中管理用户
  • 我想发布一个用于自定义身份验证的AuthenticationManager bean
  • 我想自定义全局AuthenticationManager

表单登录的原理

Spring Security支持通过HTML表单提供用户名和密码。首先，我们看看如何将用户重定向到登录表单

上图基于 SecurityFilterChain 流程图。 

  1. 首先，用户向未授权的资源 （/private） 发出未经身份验证的请求。
  2. Spring Security 的 AuthorizationFilter 通过抛出 AccessDeniedException 来指示未经身份验证的请求被拒绝。
  3. 由于用户未经过身份验证，因此 ExceptionTranslationFilter 将启动“启动身份验证”，并使用配置的 AuthenticationEntryPoint 将重定向发送到登录页。在大多数情况下，AuthenticationEntryPoint 是 LoginUrlAuthenticationEntryPoint 的实例。
  4. 浏览器请求重定向到的登录页面。
  5. 应用程序中的某些内容必须呈现在登录页面。

当提交用户名和密码时，UsernamePasswordAuthenticationFilter对用户名和密码进行认证。UsernamePasswordAuthenticationFilter扩展了AbstractAuthenticationProcessingFilter，因此下面的图看起来应该非常相似。

该图建立在SecurityFilterChain图的基础上。

1.当用户提交其用户名和密码时，UsernamePasswordAuthenticationFilter 通过从 HttpServletRequest 实例中提取用户名和密码来创建 UsernamePasswordAuthenticationToken，UsernamePasswordAuthenticationToken是一种身份验证类型。

2.接下来，将UsernamePasswordAuthenticationToken传递到要进行身份验证的AuthenticationManager实例中。AuthenticationManager的细节取决于用户信息的存储方式。

3.如果身份验证失败，则定义为”失败“，并做如下:

        (1).清除SecurityContextHolder。

        (2).调用 RememberMeServices.loginFail。如果未配置“记住我”，则为空操作。请参阅 Javadoc 中的 RememberMeServices 接口。

        (3).调用AuthenticationFailureHandler。请参阅Javadoc中的AuthenticationFailureHandler类

4.如果身份验证成功，则显定义为”成功“，并做如下：

        (1).SessionAuthenticationStrategy收到新登录的通知。请参阅Javadoc中的SessionAuthenticationStrategy接口。

        (2).身份验证设置在securitycontexholder上。请参阅Javadoc中的SecurityContextPersistenceFilter类。

        (3).RememberMeServices。调用loginSuccess。如果记得我没有配置，这是一个no-op。请参阅Javadoc中的memormeservices接口。

        (4).ApplicationEventPublisher发布一个InteractiveAuthenticationSuccessEvent事件。

        (5).调用AuthenticationSuccessHandler。通常，这是一个SimpleUrlAuthenticationSuccessHandler，当我们重定向到登录页面时，它会重定向到由ExceptionTranslationFilter保存的请求。

默认情况下，Spring Security 表单登录处于启用状态。但是，一旦提供了任何基于 servlet 的配置，就必须显式提供基于表单的登录。以下示例显示了一个最小的显式 Java 配置：

public SecurityFilterChain filterChain(HttpSecurity http) {http.formLogin(withDefaults());// ...
}

在前面的配置中，Spring Security 呈现默认登录页面。大多数生产应用程序都需要自定义登录表单。

以下配置演示了如何提供自定义登录表单。

ublic SecurityFilterChain filterChain(HttpSecurity http) {http.formLogin(form -> form.loginPage("/login").permitAll());// ...
}

在 Spring Security 配置中指定登录页面时，用户负责呈现页面。以下 Thymeleaf 模板生成符合 /login 登录页的 HTML 登录表单。

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org"><head><title>Please Log In</title></head><body><h1>Please Log In</h1><div th:if="${param.error}">Invalid username and password.</div><div th:if="${param.logout}">You have been logged out.</div><form th:action="@{/login}" method="post"><div><input type="text" name="username" placeholder="Username"/></div><div><input type="password" name="password" placeholder="Password"/></div><input type="submit" value="Log in" /></form></body>
</html>

关于默认 HTML 表单，有几个关键点：

  • 表单应执行 post 到 /login。
  • 该表单需要包含一个 CSRF 令牌，该令牌由 Thymeleaf 自动包含。
  • 表单应在名为 username 的参数中指定用户名。
  • 表单应在名为 password 的参数中指定密码。
  • 如果找到名为 error 的 HTTP 参数，则表示用户未能提供有效的用户名或密码。
  • 如果找到名为 logout 的 HTTP 参数，则表示用户已成功注销。

许多用户只需要自定义登录页面即可。但是，如果需要，您可以使用其他配置自定义前面显示的所有内容。

如果您使用 Spring MVC，则需要一个将 GET /login 映射到我们创建的登录模板的控制器。以下示例显示了一个最小的 LoginController：

@Controller
class LoginController {@GetMapping("/login")String login() {return "login";}
}

最后在官网Username/Password这页中，还有描写关于自定义身份的authentication bean和全局authenticationManger，也就是上面超链接最后2点，先翻译出来，再后续博客中接着讲，本文可以着重看前面的表单登录即可。

发布一个AuthenticationManager bean

一个相当常见的要求是发布 AuthenticationManager bean 以允许自定义身份验证，例如在 @Service 或 Spring MVC @Controller中。例如，您可能希望通过 REST API 而不是使用表单登录对用户进行身份验证。

@Configuration
@EnableWebSecurity
public class SecurityConfig {@Beanpublic SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {http.authorizeHttpRequests((authorize) -> authorize.requestMatchers("/login").permitAll().anyRequest().authenticated());return http.build();}@Beanpublic AuthenticationManager authenticationManager(UserDetailsService userDetailsService,PasswordEncoder passwordEncoder) {DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider();authenticationProvider.setUserDetailsService(userDetailsService);authenticationProvider.setPasswordEncoder(passwordEncoder);return new ProviderManager(authenticationProvider);}@Beanpublic UserDetailsService userDetailsService() {UserDetails userDetails = User.withDefaultPasswordEncoder().username("user").password("password").roles("USER").build();return new InMemoryUserDetailsManager(userDetails);}@Beanpublic PasswordEncoder passwordEncoder() {return PasswordEncoderFactories.createDelegatingPasswordEncoder();}}

有了上述配置，您就可以创建一个使用AuthenticationManager的@RestController，如下所示：

@RestController
public class LoginController {private final AuthenticationManager authenticationManager;public LoginController(AuthenticationManager authenticationManager) {this.authenticationManager = authenticationManager;}@PostMapping("/login")public ResponseEntity<Void> login(@RequestBody LoginRequest loginRequest) {Authentication authenticationRequest =UsernamePasswordAuthenticationToken.unauthenticated(loginRequest.username(), loginRequest.password());Authentication authenticationResponse =this.authenticationManager.authenticate(authenticationRequest);// ...}public record LoginRequest(String username, String password) {}}

本例中，如果需要，您有责任将经过身份验证的用户保存在securitycontextrerepository中。例如，如果使用HttpSession在请求之间持久化SecurityContext，您可以使用httpessionsecuritycontextrepository。

自定义 AuthenticationManager

通常，Spring Security 在内部构建一个 AuthenticationManager，该管理器由 DaoAuthenticationProvider 组成，用于用户名/密码身份验证。在某些情况下，可能仍需要自定义 Spring Security 使用的 AuthenticationManager 实例。例如，您可能需要简单地为缓存用户禁用凭据擦除。您可以使用以下配置发布 AuthenticationManager：

@Configuration
@EnableWebSecurity
public class SecurityConfig {@Beanpublic SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {http.authorizeHttpRequests((authorize) -> authorize.requestMatchers("/login").permitAll().anyRequest().authenticated()).httpBasic(Customizer.withDefaults()).formLogin(Customizer.withDefaults());return http.build();}@Beanpublic AuthenticationManager authenticationManager(UserDetailsService userDetailsService,PasswordEncoder passwordEncoder) {DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider();authenticationProvider.setUserDetailsService(userDetailsService);authenticationProvider.setPasswordEncoder(passwordEncoder);ProviderManager providerManager = new ProviderManager(authenticationProvider);providerManager.setEraseCredentialsAfterAuthentication(false);return providerManager;}@Beanpublic UserDetailsService userDetailsService() {UserDetails userDetails = User.withDefaultPasswordEncoder().username("user").password("password").roles("USER").build();return new InMemoryUserDetailsManager(userDetails);}@Beanpublic PasswordEncoder passwordEncoder() {return PasswordEncoderFactories.createDelegatingPasswordEncoder();}}

或者，您可以利用用于构建 Spring Security 的全局 AuthenticationManager 的 AuthenticationManagerBuilder 作为 Bean 发布的事实。您可以按如下方式配置构建器：

@Configuration
@EnableWebSecurity
public class SecurityConfig {@Beanpublic SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {// ...return http.build();}@Beanpublic UserDetailsService userDetailsService() {// Return a UserDetailsService that caches users// ...}@Autowiredpublic void configure(AuthenticationManagerBuilder builder) {builder.eraseCredentials(false);}}

参考文献：

《spring boot官网》

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/222060.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

前端如何使用express写一个简单的服务

前端如何使用express写一个简单的服务

相信不少前端平常在日常工作中肯遇见过后端API接口没开发出来的时候吧 前端提升小技巧 自己使用nodejs——express ,koa&#xff0c;egg开发接口吧(本人比较喜欢egg和express) 今天先分享一下express 下面是一个简单的demo 1、首先咱们可以新建一个文件夹,创建一个app.js 下…
阅读更多...
【开源软件】最好的开源软件-2023-第18名 OpenTelemetry

【开源软件】最好的开源软件-2023-第18名 OpenTelemetry

自我介绍 做一个简单介绍&#xff0c;酒架年近48 &#xff0c;有20多年IT工作经历&#xff0c;目前在一家500强做企业架构&#xff0e;因为工作需要&#xff0c;另外也因为兴趣涉猎比较广&#xff0c;为了自己学习建立了三个博客&#xff0c;分别是【全球IT瞭望】&#xff0c;【…
阅读更多...
扫雷/python中*解包作用

扫雷/python中*解包作用

题目描述 在一个n行m列的方格图上有一些位置有地雷&#xff0c;另外一些位置为空。 请为每个空位置标一个整数&#xff0c;表示周围八个相邻的方格中有多少个地雷。 输入描述 输入的第一行包含两个整数n,m。 第2行到第n1行每行包含m个整数&#xff0c;相邻整数之间用-个空格分隔…
阅读更多...
Keepalived+Nginx实现高可用(下)

Keepalived+Nginx实现高可用(下)

一、背景 上篇文章介绍了基本的Keepalived的简单入门&#xff0c;但是针对预留的问题还有优化的空间。分别是下面3个问题: 1、如果仅仅只提供一个VIP的方式&#xff0c;会存在只有1台服务器处于实际工作&#xff0c;另外1台处于闲置状态。 势必存在成本资源浪费问题&#xff0c…
阅读更多...
定时器Timer、多线程下的单例模式

定时器Timer、多线程下的单例模式

在java中&#xff0c;Timer主要负责计划任务的功能&#xff0c;即在指定的时间开始执行某个任务。TimerTask是一个抽象类&#xff0c;负责封装定时任务。 1、定时器Timer的使用 schedule(TimerTask task, Date date)&#xff1a;在指定的日期执行一次task。 schedule(TimerTask…
阅读更多...
Android : Room 数据库的基本用法 _简单应用_二_优化

Android : Room 数据库的基本用法 _简单应用_二_优化

1.导入依赖 build.gradle dependencies {//Roomdef room_version "2.5.0"implementation "androidx.room:room-runtime:$room_version"annotationProcessor "androidx.room:room-compiler:$room_version"// 使用androidx版本库 ViewModelProv…
阅读更多...
LLM之RAG实战（四）：Self-RAG如何革命工业LLM

LLM之RAG实战（四）：Self-RAG如何革命工业LLM

论文地址&#xff1a;https://arxiv.org/pdf/2310.11511.pdf Github地址&#xff1a;https://github.com/AkariAsai/self-rag 尽管LLM&#xff08;大型语言模型&#xff09;的模型和数据规模不断增加&#xff0c;但它们仍然面临事实错误的问题。现有的Retrieval-Augmented Gen…
阅读更多...
js中严格模式简单介绍

js中严格模式简单介绍

ES5中增加了一种运行模式 &#xff0c;严格模式。严格模式使代码在更严格的条件下运行&#xff0c;以消除一些JavaScript中语法不合理及怪异之处。但是在严格模式下有一些语句及语法是不能使用的&#xff0c;比如delete只能删除属性描述符中configurable设置为true的对象 属性…
阅读更多...
一文讲清 QWidget 大小位置

一文讲清 QWidget 大小位置

一文讲清 QWidget 大小位置 前言 ​ QWidget 的位置基于桌面坐标系&#xff0c;以左上角为原点&#xff0c;向右x轴增加&#xff0c;向下y轴增加。 一、图解 ​ ​ 如上图所示&#xff0c;当窗口为顶层窗口时&#xff08;即没有任何父窗口&#xff09;&#xff0c;系统会自…
阅读更多...
JVM的五大分区

JVM的五大分区

1.方法区 方法区主要用来存储已在虚拟机加载的类的信息、常量、静态变量以及即时编译器编译后的代码信息。该区域是被线程共享的。 2.虚拟机栈 虚拟机栈也就是我们平时说的栈内存&#xff0c;它是为java方法服务的。每个方法在执行的 时候都会创建一个栈帧&#xff0c;用于存…
阅读更多...
数据结构学习 12字母迷宫

数据结构学习 12字母迷宫

dfs 回溯 剪枝 这个题和dfs有关&#xff0c;但是我之前没有接触过&#xff0c;我看了这一篇很好的文章&#xff0c;看完之后写的答案。 我觉得很好的总结&#xff1a; dfs模板 int check(参数) {if(满足条件)return 1;return 0; }void dfs(int step) {判断边界{相应操作}尝试…
阅读更多...
【JUC】二十九、synchronized锁升级之轻量锁与重量锁

【JUC】二十九、synchronized锁升级之轻量锁与重量锁

文章目录 1、轻量锁2、轻量锁的作用3、轻量锁的加锁和释放4、轻量级锁的代码演示5、重量级锁6、重量级锁的原理7、锁升级和hashcode的关系8、锁升级和hashcode关系的代码证明9、synchronized锁升级的总结10、JIT编译器对锁的优化&#xff1a;锁消除和锁粗化11、结语 &#x1f4…
阅读更多...
基士得耶速印机印件故障解决方法和印刷机使用注意事项

基士得耶速印机印件故障解决方法和印刷机使用注意事项

基士得耶和理光两个品牌的一体化速印机同属于理光公司的两个不同品牌。基士得耶速印机的每个机型&#xff0c;都有和它通用的理光速印机的机型相对应。&#xff08;油墨版纸通用&#xff0c;外观一样&#xff0c;配件全部通用。&#xff09;速印机在印刷的时候&#xff0c;经常…
阅读更多...
USB2.0 Spec 中文篇

USB2.0 Spec 中文篇

体系简介 线缆 USB 是一种支持热拔插的高速串行传输总线&#xff0c;使用一对&#xff08;两根&#xff09;差分信号来传输数据&#xff0c;半双工。要求使用屏蔽双绞线。 供电 USB 支持 “总线供电” 和 “自供电” 两种供电模式。在总线供电方式下&#xff0c;设备最多可…
阅读更多...
​subprocess --- 子进程管理​

​subprocess --- 子进程管理​

源代码: Lib/subprocess.py subprocess 模块允许你生成新的进程&#xff0c;连接它们的输入、输出、错误管道&#xff0c;并且获取它们的返回码。此模块打算代替一些老旧的模块与功能&#xff1a; os.system os.spawn*在下面的段落中&#xff0c;你可以找到关于 subprocess 模…
阅读更多...
代理模式

代理模式

接口 public interface UserService {void selectAll(); }实现类&#xff08;需要增加业务&#xff09; public class UserServiceImpl implements UserService{Overridepublic void selectAll() {System.out.println("查询");} }静态代理 代理类 public class Us…
阅读更多...
选择适合微服务的编程语言

选择适合微服务的编程语言

关注公众号【爱发白日梦的后端】分享技术干货、读书笔记、开源项目、实战经验、高效开发工具等&#xff0c;您的关注将是我的更新动力&#xff01; 讨论编程语言就像是一场政治辩论。每个开发者都会过分捍卫他/她所使用的编程语言。然而&#xff0c;编程语言应该被看作是它们真…
阅读更多...
Tofu目标识别跟踪模块

Tofu目标识别跟踪模块

Tofu3 是多波段视频物体识别跟踪模块&#xff0c;支持可见光视频与红外视频的输入&#xff0c;支持激光补光变焦自适应控制&#xff0c;支持视频下的多类型物体检测、识别、跟踪等功能。 产品支持视频编码、设备管理、目标检测、深度学习识别、跟踪等功能&#xff0c;提供多机…
阅读更多...
IPv6网络协议有什么用

IPv6网络协议有什么用

IPv6是英文“Internet Protocol Version 6”&#xff08;互联网协议第6版&#xff09;的缩写&#xff0c;是互联网工程任务组&#xff08;IETF&#xff09;设计的用于替代IPv4的下一代IP协议&#xff0c;号称可以为全世界的每一粒沙子编上一个地址。IPv6的使用&#xff0c;不仅…
阅读更多...
一起看看StatusBarManagerService(三)

一起看看StatusBarManagerService(三)

写在前面 StatusBarManagerService中API涉及systemui的多个模块&#xff1b;本篇主要介绍StatusBarManagerService中与通知栏相关的API和几个通用API。 因为我对系统UI了解的不全&#xff0c;其他API暂不整理&#xff0c;怕误人子弟。。 通知栏相关函数解析 1.展开通知栏 vo…
阅读更多...
最新文章

Copyright @ 2022~2023