SpringSecurity如何放行资源

SpringSecurity配置放行资源

permitAll配置实例

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {@Overridepublic void configure(HttpSecurity http) throws Exception {http.authorizeRequests().antMatchers("/css/**", "/js/**","/fonts/**").permitAll().anyRequest().authenticated();}
}

web ignore配置实例 

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {@Overridepublic void configure(WebSecurity web) throws Exception {web.ignoring().antMatchers("/css/**");web.ignoring().antMatchers("/js/**");web.ignoring().antMatchers("/fonts/**");}
}

两种方式最大的区别在于，第一种方式是不走 Spring Security 过滤器链，而第二种方式走 Spring Security 过滤器链，在过滤器链中，给请求放行。

在我们使用 Spring Security 的时候，有的资源可以使用第一种方式额外放行，不需要验证，例如前端页面的静态资源，就可以按照第一种方式配置放行。

有的资源放行，则必须使用第二种方式，例如登录接口。大家知道，登录接口也是必须要暴露出来的，不需要登录就能访问到的，但是我们却不能将登录接口用第一种方式暴露出来，登录请求必须要走 Spring Security 过滤器链，因为在这个过程中，还有其他事情要做。

 

当我们使用 Spring Security，用户登录成功之后，有两种方式获取用户登录信息：

  1. SecurityContextHolder.getContext().getAuthentication()
  2. 在 Controller 的方法中，加入 Authentication 参数

这两种办法，都可以获取到当前登录用户信息。

这两种方式获取到的数据都是来自 SecurityContextHolder，SecurityContextHolder 中的数据，本质上是保存在 ThreadLocal 中，ThreadLocal 的特点是存在它里边的数据，哪个线程存的，哪个线程才能访问到。

这样就带来一个问题，当用户登录成功之后，将用户用户数据存在 SecurityContextHolder 中（thread1），当下一个请求来的时候（thread2），想从 SecurityContextHolder 中获取用户登录信息，却发现获取不到！为啥？因为它俩不是同一个 Thread。

但实际上，正常情况下，我们使用 Spring Security 登录成功后，以后每次都能够获取到登录用户信息，这又是怎么回事呢？

这我们就要引入 Spring Security 中的 SecurityContextPersistenceFilter 了。

无论是 Spring Security 还是 Shiro，它的一系列功能其实都是由过滤器来完成的，在 Spring Security 中， UsernamePasswordAuthenticationFilter 过滤器之前还有一个过滤器就是 SecurityContextPersistenceFilter，请求在到达 UsernamePasswordAuthenticationFilter 之前都会先经过 SecurityContextPersistenceFilter。

大概源码如下

public class SecurityContextPersistenceFilter extends GenericFilterBean {public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)throws IOException, ServletException {HttpServletRequest request = (HttpServletRequest) req;HttpServletResponse response = (HttpServletResponse) res;HttpRequestResponseHolder holder = new HttpRequestResponseHolder(request,response);SecurityContext contextBeforeChainExecution = repo.loadContext(holder);try {SecurityContextHolder.setContext(contextBeforeChainExecution);chain.doFilter(holder.getRequest(), holder.getResponse());}finally {SecurityContext contextAfterChainExecution = SecurityContextHolder.getContext();SecurityContextHolder.clearContext();repo.saveContext(contextAfterChainExecution, holder.getRequest(),holder.getResponse());}}
}

原本的方法很长，我这里列出来了比较关键的几个部分：

  1. SecurityContextPersistenceFilter 继承自 GenericFilterBean，而 GenericFilterBean 则是 Filter 的实现，所以 SecurityContextPersistenceFilter 作为一个过滤器，它里边最重要的方法就是 doFilter 了。
  2. 在 doFilter 方法中，它首先会从 repo 中读取一个 SecurityContext 出来，这里的 repo 实际上就是 HttpSessionSecurityContextRepository，读取 SecurityContext 的操作会进入到 readSecurityContextFromSession 方法中，在这里我们看到了读取的核心方法 Object contextFromSession = httpSession.getAttribute(springSecurityContextKey);，这里的 springSecurityContextKey 对象的值就是 SPRING_SECURITY_CONTEXT，读取出来的对象最终会被转为一个 SecurityContext 对象。
  3. SecurityContext 是一个接口，它有一个唯一的实现类 SecurityContextImpl，这个实现类其实就是用户信息在 session 中保存的 value。
  4. 在拿到 SecurityContext 之后，通过 SecurityContextHolder.setContext 方法将这个 SecurityContext 设置到 ThreadLocal 中去，这样，在当前请求中，Spring Security 的后续操作，我们都可以直接从 SecurityContextHolder 中获取到用户信息了。
  5. 接下来，通过 chain.doFilter 让请求继续向下走（这个时候就会进入到 UsernamePasswordAuthenticationFilter 过滤器中了）。
  6. 在过滤器链走完之后，数据响应给前端之后，finally 中还有一步收尾操作，这一步很关键。这里从 SecurityContextHolder 中获取到 SecurityContext，获取到之后，会把 SecurityContextHolder 清空，然后调用 repo.saveContext 方法将获取到的 SecurityContext 存入 session 中。

至此，整个流程就很明了了。

每一个请求到达服务端的时候，首先从 session 中找出来 SecurityContext ，然后设置到 SecurityContextHolder 中去，方便后续使用，当这个请求离开的时候，SecurityContextHolder 会被清空，SecurityContext 会被放回 session 中，方便下一个请求来的时候获取。

登录请求来的时候，还没有登录用户数据，但是登录请求走的时候，会将用户登录数据存入 session 中，下个请求到来的时候，就可以直接取出来用了。

看了上面的分析，我们可以至少得出两点结论：

  1. 如果我们暴露登录接口的时候，使用了前面提到的第一种方式，没有走 Spring Security，过滤器链，则在登录成功后，就不会将登录用户信息存入 session 中，进而导致后来的请求都无法获取到登录用户信息（后来的请求在系统眼里也都是未认证的请求）
  2. 如果你的登录请求正常，走了 Spring Security 过滤器链，但是后来的 A 请求没走过滤器链（采用前面提到的第一种方式放行），那么 A 请求中，也是无法通过 SecurityContextHolder 获取到登录用户信息的，因为它一开始没经过 SecurityContextPersistenceFilter 过滤器链。

 

小结

总之，前端静态资源放行时，可以直接不走 Spring Security 过滤器链，像下面这样：

@Override
public void configure(WebSecurity web) throws Exception {web.ignoring().antMatchers("/css/**","/js/**","/index.html","/img/**","/fonts/**","/favicon.ico");
}


后端的接口要额外放行，就需要仔细考虑场景了，不过一般来说，不建议使用上面这种方式，建议下面这种方式，原因前面已经说过了：

http.authorizeRequests().antMatchers("/hello").permitAll().anyRequest().authenticated()

如果使用的是security6版本，以上两种方式稍有不同，如下

@Configuration
@EnableWebSecurity
public class MySecurityConfig {//配置不需要认证的资源路径@Beanpublic SecurityFilterChain filterChain(HttpSecurity http) throws Exception {return http.authorizeHttpRequests(conf -> conf.requestMatchers(SystemConstants.HTTP_ACT_MATCHERS).permitAll().anyRequest()..authenticated()).build();}/*** 配置全局的某些通用事物，例如静态资源等* @return*/@Beanpublic WebSecurityCustomizer securityCustomizer() {return (web) -> web.ignoring().requestMatchers("/static/**");}}

如果项目是前后端分离项目，通过token交互的，我们一般会定义token过滤器，但是会出现SpringSecurity 配置permitAll之后仍然会走自定义过滤器Filter的问题，看到网上解决方案是将token过滤器filter不要注册为bean而是交给security管理并且配置WebSecurityCustomizer securityCustomizer()，代码如大体如下

@Configuration
@EnableWebSecurity
public class MySecurityConfig {@Beanpublic SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {//不需要认证的请求return http.authorizeHttpRequests(conf -> conf.requestMatchers("/login", "/info").permitAll().anyRequest().authenticated())//通过new JwtFilter()的方式，而不是bean组件注入的方式.addFilterBefore(new JwtFilter(), UsernamePasswordAuthenticationFilter.class).csrf(withDefaults()).cors(withDefaults()).build();}/*** 配置全局的某些通用事物，例如静态资源等* @return*/@Beanpublic WebSecurityCustomizer securityCustomizer() {return (web) -> web.ignoring().requestMatchers("/static/**");}
}

但是本地实测，放行的info和login还是会走token 过滤器，其实走token过滤器没啥影响，我们只需在token过滤器判断跳过主要token校验逻辑即可，token过滤器参考代码如下

@Component
public class JwtFilter extends OncePerRequestFilter {@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {String token = request.getHeader("token");//放行if (token == null || request.getRequestURI().equals("info")){filterChain.doFilter(request, response);return;}try {String username = JwtUtils.getValue(token, "username");UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(User.withUsername(username), null, null);SecurityContextHolder.getContext().setAuthentication(authenticationToken);filterChain.doFilter(request, response);}catch (Exception e){e.printStackTrace();}}
}

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/35303.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

数据库事务ACID介绍

数据库事务ACID介绍

一、ACID简介 ACID，是指数据库管理系统（DBMS）在增删改数据的的过程中，为保证事务（transaction）的准确性，可靠性等，所必须具备的四个特性：原子性（atomicity&a…
阅读更多...
【MFC】09.MFC视图-笔记

【MFC】09.MFC视图-笔记

MFC视图窗口：CView类 显示数据/画面 我们之前的绘图消息，都是在框架类上画出来的 视图窗口就覆盖在框架窗口上 视图窗口本质上也是窗口，只是和框架窗口风格不同 CView类也继承于CWnd类 CView也能处理消息，因为它继承于CWnd类…
阅读更多...
关于selenium 元素定位的浅度解析

关于selenium 元素定位的浅度解析

一、By类单一属性定位 元素名称 描述 Webdriver API id id属性 driver.find_element(By.ID, "id属性值") name name属性 driver.find_element(By.NAME, "name属性值") class_name class属性 driver.find_element(By.CLASS_NAME, "class_na…
阅读更多...
25考研：跨专业考研难吗？

25考研：跨专业考研难吗？

25考研：跨专业考研难吗？ 嘉兴校址：嘉兴市南湖区中山东路205号嘉华广场4楼 （建国珠宝城旁）上元教育 海宁校址：海宁市西山路832号金贸大厦11楼1101号上元教育 桐乡校址：桐乡市东悦路吾悦广场156号…
阅读更多...
MAUI+Blazor：隐藏标题栏和问题

MAUI+Blazor：隐藏标题栏和问题

文章目录 前言相关文章代码问题有必要解决吗？ 前言 最近在研究MAUIBlazor开发，发现一个问题，原生的的标题栏实在是太丑了。 相关文章 MAUI桌面端标题栏设置和窗口调整 MAUI Windows How to completely hide the TitleBar? #15142 MAUI …
阅读更多...
Chrome开发者工具介绍

Chrome开发者工具介绍

Chrome开发者工具介绍 前言1 打开DevTools2 命令菜单3 Elements面板ConsoleJavaScript调试Network 前言 Chrome开发者工具是谷歌浏览器自带的一款开发者工具，它可以给开发者带来很大的便利。常用的开发者工具面板主要包含Elements面板、Console面板、Sources面板、…
阅读更多...
数据结构——时间复杂度和空间复杂度

数据结构——时间复杂度和空间复杂度

1.算法效率 2.时间复杂度 3.空间复杂度 4. 常见时间复杂度以及复杂度oj练习 1.算法效率 1.1 如何衡量一个算法的好坏 如何衡量一个算法的好坏呢&#xff1f;比如对于以下斐波那契数的计算 long long Fib(int N) { if(N < 3) return 1; return Fib(N-1) Fib(N-2); }我们看到…
阅读更多...
2023 互联网大厂薪资大比拼

2023 互联网大厂薪资大比拼

最近整理了33家互联网大厂的薪资情况。可以看出来&#xff0c;大部分互联网大厂薪资还是很不错的&#xff0c;腾讯、阿里、美团、百度等大厂平均月薪超过30k&#xff0c;其他互联网大厂平均月薪也都在25k以上。01020304050607080910111213141516171819202122232425262728293031…
阅读更多...
yo！这里是STL::list类简单模拟实现

yo！这里是STL::list类简单模拟实现

目录 前言 重要接口实现 框架 默认成员函数 迭代器&#xff08;重点&#xff09; 1.引言 2.list迭代器类实现 3.list类中调用实现 增删查改 后记 前言 我们知道&#xff0c;stl中的vector对应数据结构中的顺序表&#xff0c;string类对应字符串&#xff0c;而今天要…
阅读更多...
Unity C# 之 Http 获取网页的 html 数据，并去掉 html 格式等相关信息

Unity C# 之 Http 获取网页的 html 数据，并去掉 html 格式等相关信息

Unity C# 之 Http 获取网页的 html 数据&#xff0c;并去掉 html 格式等相关信息 目录 Unity C# 之 Http 获取网页的 html 数据&#xff0c;并去掉 html 格式等相关信息 一、简单介绍 二、实现原理 三、注意事项 四、效果预览 五、关键代码 一、简单介绍 Unity中的一些知…
阅读更多...
Linux网络基础（中）

Linux网络基础（中）

目录&#xff1a; 再谈“协议” HTTP协议 认识URL&#xff1a; urlnecode和urldecode HTTP协议格式&#xff1a; HTTP的方法&#xff1a; 简易HTTP服务器&#xff1a; 传输层 再谈端口号&#xff1a; 端口号范围划分&#xff1a; netstat&#xff1a; pidof&…
阅读更多...
Mybatis三剑客（一）在springboot中手动使用Mybatis

Mybatis三剑客（一）在springboot中手动使用Mybatis

1、pom.xml中引入依赖【注意根据自己的spring boot版本选择对应的mysql和mybatis版本】 <dependency><groupId>mysql</groupId><artifactId>mysql-connector-java</artifactId></dependency><dependency><groupId>org.mybatis…
阅读更多...
Ubantu安装Docker(完整详细)

Ubantu安装Docker(完整详细)

先在官网上查看对应的版本:官网 然后根据官方文档一步一步跟着操作即可 必要准备 要成功安装Docker Desktop&#xff0c;必须&#xff1a; 满足系统要求 拥有64位版本的Ubuntu Jammy Jellyfish 22.04&#xff08;LTS&#xff09;或Ubuntu Impish Indri 21.10。 Docker Deskto…
阅读更多...
Redis基础命令大全

Redis基础命令大全

这里写目录标题 第一章、Redis 命令大全1.1&#xff09;通用命令语法&#xff1a;ping语法&#xff1a;dbsize语法&#xff1a;select db语法&#xff1a;flushdb语法&#xff1a;exit 或 quit语法&#xff1a;redis-cli 1.2&#xff09;Redis 的 Key 的操作命令语法&#xff1…
阅读更多...
【Java基础】- JVM之Dump文件详解

【Java基础】- JVM之Dump文件详解

Java基础 - JVM之Dump文件详解 文章目录 Java基础 - JVM之Dump文件详解一、什么是Dump三、为什么需要Dump分析思路 四、Dump记录哪些内容4.1 Java dump 文件的格式和内容段格式行格式 4.2 常用分类heap dump和thread dumpheap dumpthread dump 五、如何生产Dump文件5.1 获取hea…
阅读更多...
Elasticsearch之kibana相关命令

Elasticsearch之kibana相关命令

1.中文分词器相关命令 2.拼音分词器相关命令
阅读更多...
服务器之LNMP

服务器之LNMP

lnmp的构成 L&#xff1a;linux系统,操作系统。 N&#xff1a;nginx网站服务&#xff0c;前端,提供前端的静态页面服务。同时具有代理,转发的作用。 转发&#xff1a;主要是转发后端请求。转发到PHP。nginx没有处理动态资源的功能,他有可以支持转发动态请求的模块。 M&…
阅读更多...
正则表达式练习

正则表达式练习

正则表达式练习 工具目的代码运行结果 工具 pycharm 目的 https://www.77xsw.cc/fenlei/1_1/&#xff1a;第一页的网址 https://www.77xsw.cc/fenlei/1_2/&#xff1a;第二页的网址 ... https://www.77xsw.cc/fenlei/1_10/&#xff1a;第十页的网址 代码 import requests im…
阅读更多...
REDIS主从配置

REDIS主从配置

目录 前言 一、概述 二、作用 三、缺点 四、redis主从复制的流程 五、搭建redis主从复制 总结 前言 Redis的主从配置是指在Redis集群中&#xff0c;将一个Redis节点配置为主节点&#xff08;master&#xff09;&#xff0c;其他节点配置为从节点&#xff08;slave&#xff09;…
阅读更多...
【数据结构•堆】堆排序（理论基础）

【数据结构•堆】堆排序（理论基础）

堆的定义 　• 堆是一个完全二叉树 　　–所有叶子在同一层或者两个连续层 　　–最后一层的结点占据尽量左的位置 　• 堆性质 　　–为空, 或者最小元素在根上 　　–两棵子树也是堆 存储方式 　• 最小堆的元素保存在heap[1..hs]内 　　– 根在heap[1] 　　–K的左儿子是2k,…
阅读更多...
最新文章

Copyright @ 2022~2023