spring-security-学习笔记-02-基于Session的认证方式

spring-security-学习笔记-02-基于Session的认证方式

文章目录

  • spring-security-学习笔记-02-基于Session的认证方式
  • 2 基于Session的认证方式
    • 2.1 认证流程
    • 2.2.创建工程
      • 2.2.1 创建maven工程
      • 2.2.2 Spring 容器配置
      • 2.2.3 servletContext配置
      • 2.2.4 加载 Spring容器
    • 2.3.实现认证功能
      • 2.3.1 认证页面
      • 2.3.2 认证接口
    • 2.4.实现会话功能
    • 2.5.实现授权功能
    • 2.6 小结

2 基于Session的认证方式

2.1 认证流程

  基于Session认证方式的流程是,用户认证成功后,在服务端生成用户相关的数据保存在session(当前会话),而发 给客户端的 sesssion_id 存放到 cookie 中,这样用客户端请求时带上 session_id 就可以验证服务器端是否存在 session 数据,以此完成用户的合法校验。当用户退出系统或session过期销毁时,客户端的session_id也就无效了。
  下图是session认证方式的流程图:
在这里插入图片描述
  基于Session的认证机制由Servlet规范定制,Servlet容器已实现,用户通过HttpSession的操作方法即可实现,如 下是HttpSession相关的操作API。
在这里插入图片描述

2.2.创建工程

本案例工程使用maven进行构建,使用SpringMVC、Servlet3.0实现。

2.2.1 创建maven工程

创建maven工程 security-springmvc,工程结构如下:
在这里插入图片描述

pom文件配置

2.2.2 Spring 容器配置

在config包下定义ApplicationConfig.java,它对应web.xml中ContextLoaderListener的配置

@Configuration
@ComponentScan(basePackages = "com.itheima.security.springmvc" // 排除掉这个注解@ComponentScan,excludeFilters = {@ComponentScan.Filter(type = FilterType.ANNOTATION,value = Controller.class)}) 
public class ApplicationConfig { 
//在此配置除了Controller的其它bean,比如:数据库链接池、事务管理器、业务bean等。}

2.2.3 servletContext配置

  本案例采用Servlet3.0无web.xml方式,的config包下定义WebConfig.java,它对应于DispatcherServlet配 置。

@Configuration//就相当于springmvc.xml文件
@EnableWebMvc
@ComponentScan(basePackages = "com.itheima.security.springmvc",includeFilters = {@ComponentScan.Filter(type = FilterType.ANNOTATION,value = Controller.class)})
public class WebConfig implements WebMvcConfigurer {@AutowiredSimpleAuthenticationInterceptor simpleAuthenticationInterceptor;//视频解析器@Beanpublic InternalResourceViewResolver viewResolver(){InternalResourceViewResolver viewResolver = new InternalResourceViewResolver();viewResolver.setPrefix("/WEB-INF/view/");viewResolver.setSuffix(".jsp");return viewResolver;}@Overridepublic void addViewControllers(ViewControllerRegistry registry) {registry.addViewController("/").setViewName("login");}@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(simpleAuthenticationInterceptor).addPathPatterns("/r/**");}
}

2.2.4 加载 Spring容器

  在init包下定义Spring容器初始化类SpringApplicationInitializer,此类实现WebApplicationInitializer接口, Spring容器启动时加载WebApplicationInitializer接口的所有实现类。

public class SpringApplicationInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {//spring容器,相当于加载 applicationContext.xml@Overrideprotected Class<?>[] getRootConfigClasses() {return new Class[]{ApplicationConfig.class};}//servletContext,相当于加载springmvc.xml@Overrideprotected Class<?>[] getServletConfigClasses() {return new Class[]{WebConfig.class};}//url-mapping@Overrideprotected String[] getServletMappings() {return new String[]{"/"};}
}

2.3.实现认证功能

2.3.1 认证页面

在webapp/WEB-INF/views下定义认证页面login.jsp,本案例只是测试认证流程,页面没有添加css样式,页面实 现可填入用户名,密码,触发登录将提交表单信息至/login,内容如下:

<%@ page contentType="text/html;charset=UTF-8" pageEncoding="utf-8" %>
<html>
<head><title>用户登录</title>
</head>
<body>
<form action="login" method="post">用户名:<input type="text" name="username"><br>&nbsp;&nbsp;&nbsp;码:<input type="password" name="password"><br><input type="submit" value="登录">
</form>
</body>
</html>

在WebConfig中新增如下配置,将/直接导向login.jsp页面:

@Overridepublic void addViewControllers(ViewControllerRegistry registry) {registry.addViewController("/").setViewName("login");}

启动项目,访问/路径地址,进行测试
在这里插入图片描述

2.3.2 认证接口

用户进入认证页面,输入账号和密码,点击登录,请求/login进行身份认证。

(1)定义认证接口,此接口用于对传来的用户名、密码校验,若成功则返回该用户的详细信息,否则抛出错误异常:

/*** 认证服务*/
@Data
public interface AuthenticationService {/*** 用户认证* @param authenticationRequest 用户认证请求,账号和密码* @return 认证成功的用户信息*/UserDto authentication(AuthenticationRequest authenticationRequest);
}

认证请求结构

@Data
public class AuthenticationRequest {//认证请求参数,账号、密码。。/*** 用户名*/private String username;/*** 密码*/private String password;}

认证成功后返回的用户详细信息,也就是当前登录用户的信息:

@Data
@AllArgsConstructor
public class UserDto {public static final String SESSION_USER_KEY = "_user";//用户身份信息private String id;private String username;private String password;private String fullname;private String mobile;/*** 用户权限*/private Set<String> authorities;
}

(2)认证实现类,根据用户名查找用户信息,并校验密码,这里模拟了两个用户:

@Service
public class AuthenticationServiceImpl implements  AuthenticationService{/*** 用户认证,校验用户身份信息是否合法** @param authenticationRequest 用户认证请求,账号和密码* @return 认证成功的用户信息*/@Overridepublic UserDto authentication(AuthenticationRequest authenticationRequest) {//校验参数是否为空if(authenticationRequest == null|| StringUtils.isEmpty(authenticationRequest.getUsername())|| StringUtils.isEmpty(authenticationRequest.getPassword())){throw new RuntimeException("账号和密码为空");}//根据账号去查询数据库,这里测试程序采用模拟方法UserDto user = getUserDto(authenticationRequest.getUsername());//判断用户是否为空if(user == null){throw new RuntimeException("查询不到该用户");}//校验密码if(!authenticationRequest.getPassword().equals(user.getPassword())){throw new RuntimeException("账号或密码错误");}//认证通过,返回用户身份信息return user;}//根据账号查询用户信息private UserDto getUserDto(String userName){return userMap.get(userName);}//用户信息private Map<String,UserDto> userMap = new HashMap<>();{Set<String> authorities1 = new HashSet<>();authorities1.add("p1");//这个p1我们人为让它和/r/r1对应Set<String> authorities2 = new HashSet<>();authorities2.add("p2");//这个p2我们人为让它和/r/r2对应userMap.put("zhangsan",new UserDto("1010","zhangsan","123","张三","133443",authorities1));userMap.put("lisi",new UserDto("1011","lisi","456","李四","144553",authorities2));}
}

(3)登录Controller,对/login请求处理,它调用AuthenticationService完成认证并返回登录结果提示信息:

@RestController
public class LoginController {@AutowiredAuthenticationService authenticationService;/*** 用户登录 * @param authenticationRequest 登录请求 *  @return * */@RequestMapping(value = "/login",produces = "text/plain;charset=utf-8")public String login(AuthenticationRequest authenticationRequest, HttpSession session){UserDto userDto = authenticationService.authentication(authenticationRequest);//存入sessionsession.setAttribute(UserDto.SESSION_USER_KEY,userDto);return userDto.getUsername() +"登录成功";}}

2.4.实现会话功能

  会话是指用户登入系统后,系统会记住该用户的登录状态,他可以在系统连续操作直到退出系统的过程。
  认证的目的是对系统资源的保护,每次对资源的访问,系统必须得知道是谁在访问资源,才能对该请求进行合法性 拦截。因此,在认证成功后,一般会把认证成功的用户信息放入Session中,在后续的请求中,系统能够从Session 中获取到当前用户,用这样的方式来实现会话机制。

(1)增加会话控制
首先在UserDto中定义一个SESSION_USER_KEY,作为Session中存放登录用户信息的key。

public static final String SESSION_USER_KEY = "_user";

  然后修改LoginController,认证成功后,将用户信息放入当前会话。并增加用户登出方法,登出时将session置为 失效。

@RestController
public class LoginController {@AutowiredAuthenticationService authenticationService;/*** 用户登录 * @param authenticationRequest 登录请求 *  @return * */@RequestMapping(value = "/login",produces = "text/plain;charset=utf-8")public String login(AuthenticationRequest authenticationRequest, HttpSession session){UserDto userDto = authenticationService.authentication(authenticationRequest);//存入sessionsession.setAttribute(UserDto.SESSION_USER_KEY,userDto);return userDto.getUsername() +"登录成功";}/*** 用户退出 * @param session 当前session对象 *  @return * */@GetMapping(value = "/logout",produces = {"text/plain;charset=UTF-8"})public String logout(HttpSession session){session.invalidate();return "退出成功";}
}

(2)增加测试资源
  修改LoginController,增加测试资源1,它从当前会话session中获取当前登录用户,并返回提示信息给前台。

@GetMapping(value = "/r/r1",produces = {"text/plain;charset=UTF-8"})public String r1(HttpSession session){String fullname = null;Object object = session.getAttribute(UserDto.SESSION_USER_KEY);if(object == null){fullname = "匿名";}else{UserDto userDto = (UserDto) object;fullname = userDto.getFullname();}return fullname+"访问资源r1";}@GetMapping(value = "/r/r2",produces = {"text/plain;charset=UTF-8"})public String r2(HttpSession session){String fullname = null;Object userObj = session.getAttribute(UserDto.SESSION_USER_KEY);if(userObj != null){fullname = ((UserDto)userObj).getFullname();}else{fullname = "匿名";}return fullname + " 访问资源2";}

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
  测试结果说明,在用户登录成功时,该用户信息已被成功放入session,并且后续请求可以正常从session中获取当 前登录用户信息,符合预期结果。

2.5.实现授权功能

  现在我们已经完成了用户身份凭证的校验以及登录的状态保持,并且我们也知道了如何获取当前登录用户(从 Session中获取)的信息,接下来,用户访问系统需要经过授权,即需要完成如下功能:

  • 匿名用户(未登录用户)访问拦截:禁止匿名用户访问某些资源。
  • 登录用户访问拦截:根据用户的权限决定是否能访问某些资源。

(1)增加权限数据
  为了实现这样的功能,我们需要在UserDto里增加权限属性,用于表示该登录用户所拥有的权限,同时修改 UserDto的构造方法。

@Data
@AllArgsConstructor
public class UserDto {public static final String SESSION_USER_KEY = "_user";//用户身份信息private String id;private String username;private String password;private String fullname;private String mobile;/*** 用户权限*/private Set<String> authorities;
}

  并在AuthenticationServiceImpl中为模拟用户初始化权限,其中张三给了p1权限,李四给了p2权限。

 //用户信息private Map<String,UserDto> userMap = new HashMap<>();{Set<String> authorities1 = new HashSet<>();authorities1.add("p1");//这个p1我们人为让它和/r/r1对应Set<String> authorities2 = new HashSet<>();authorities2.add("p2");//这个p2我们人为让它和/r/r2对应userMap.put("zhangsan",new UserDto("1010","zhangsan","123","张三","133443",authorities1));userMap.put("lisi",new UserDto("1011","lisi","456","李四","144553",authorities2));}

(2)增加测试资源
在这里插入图片描述

(3)实现授权拦截器
  在interceptor包下定义SimpleAuthenticationInterceptor拦截器,实现授权拦截:

  1. 校验用户是否登录
  2. 校验用户是否拥有操作权限
@Component
public class SimpleAuthenticationInterceptor implements HandlerInterceptor {@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {//在这个方法中校验用户请求的url是否在用户的权限范围内//取出用户身份信息Object object = request.getSession().getAttribute(UserDto.SESSION_USER_KEY);if(object == null){//没有认证,提示登录writeContent(response,"请登录");}UserDto userDto = (UserDto) object;//请求的urlString requestURI = request.getRequestURI();if( userDto.getAuthorities().contains("p1") && requestURI.contains("/r/r1")){return true;}if( userDto.getAuthorities().contains("p2") && requestURI.contains("/r/r2")){return true;}writeContent(response,"没有权限,拒绝访问");return false;}//响应信息给客户端private void writeContent(HttpServletResponse response, String msg) throws IOException {response.setContentType("text/html;charset=utf-8");PrintWriter writer = response.getWriter();writer.print(msg);writer.close();}
}

在WebConfig中配置拦截器,匹配/r/**的资源为受保护的系统资源,访问该资源的请求进入 SimpleAuthenticationInterceptor拦截器。

@Autowired
SimpleAuthenticationInterceptor simpleAuthenticationInterceptor;@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(simpleAuthenticationInterceptor).addPathPatterns("/r/**");}

在这里插入图片描述

2.6 小结

  基于Session的认证方式是一种常见的认证方式,至今还有非常多的系统在使用。我们在此小节使用Spring mvc技 术对它进行简单实现,旨在让大家更清晰实在的了解用户认证、授权以及会话的功能意义及实现套路,也就是它们 分别干了哪些事儿?大概需要怎么做?
  而在正式生产项目中,我们往往会考虑使用第三方安全框架(如 spring security,shiro等安全框架)来实现认证 授权功能,因为这样做能一定程度提高生产力,提高软件标准化程度,另外往往这些框架的可扩展性考虑的非常全 面。但是缺点也非常明显,这些通用化组件为了提高支持范围会增加很多可能我们不需要的功能,结构上也会比较 抽象,如果我们不够了解它,一旦出现问题,将会很难定位。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/482841.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

2021 年不可错过的 40 篇 AI 论文,你都读过吗?

来源&#xff1a;机器之心编辑&#xff1a;蛋酱虽然世界仍在从新冠疫情的破坏中复苏&#xff0c;人们无法向从前那样时常线下相聚、共同探讨交流关于学术领域的最新问题&#xff0c;但AI研究也没有停下跃进的步伐。转眼就是2021年底了&#xff0c;一年就这么就过去了&#xff0…

spring-security-学习笔记-03-spring-security快速上手

spring-security-学习笔记-03-spring-security快速上手 文章目录spring-security-学习笔记-03-spring-security快速上手3-spring-security快速上手3.1 Spring Security介绍3.2 创建工程3.2.1 创建maven工程3.2.2 spring容器配置3.2.3 Servlet Context配置3.2.4 加载 Spring容器…

所有的科学知识都是不确定的

理查德菲利普费曼&#xff08;Richard Phillips Feynman&#xff09;&#xff0c;1918年5月11日—1988年2月15日&#xff0c;美国著名理论物理学家&#xff0c;1965年&#xff0c;因在量子电动力学方面的成就而获得诺贝尔物理学奖。来源&#xff1a;科学技术哲学一、不存在决定…

2.1.1物理层基本概念

2.1.1物理层基本概念 文章目录2.1.1物理层基本概念

神经网络为大脑如何运作提供新见解

来源&#xff1a;ScienceAI编辑&#xff1a;萝卜皮单细胞空间转录组学&#xff08;sc-ST&#xff09;有望阐明复杂组织的结构方面。此类分析需要通过将 sc-ST 数据集中的细胞类型与单细胞 RNA-seq 数据集集成来对它们进行建模。然而&#xff0c;这种整合并非微不足道&#xff0…

2.1.2数据通信基础知识

文章目录2.1.2数据通信基础知识0 思维导图1. 典型的数据通信模型2 数据通信相关术语3 三种通信方式4 两种数据传输方式2.1.2数据通信基础知识 0 思维导图 1. 典型的数据通信模型 2 数据通信相关术语 3 三种通信方式 4 两种数据传输方式

一文读懂MEMS技术4大主要分类及应用领域

来源&#xff1a;传感器专家网MEMS传感器是在微电子技术基础上发展起来的多学科交叉的前沿研究领域。经过四十多年的发展&#xff0c;已成为世界瞩目的重大科技领域之一。它涉及电子、机械、材料、物理学、化学、生物学、医学等多种学科与技术&#xff0c;具有广阔的应用前景。…

2.1.3码元、波特、速率、带宽

2.1.3码元、波特、速率、带宽 文章目录2.1.3码元、波特、速率、带宽0 思维导图1.码元2. 速率&#xff0c;波特&#xff0c;带宽练习题0 思维导图 1.码元 2. 速率&#xff0c;波特&#xff0c;带宽 练习题

模拟电路人工智能神经网络的前景

ISTOCKPHOTO来源&#xff1a;IEEE电气电子工程师未来驱动人工智能的一些最佳电路可能是模拟电路&#xff0c;而不是数字电路&#xff0c;世界各地的研究团队正在越来越多地开发支持此类模拟人工智能的新设备。在驱动AI当前爆炸的深层神经网络中&#xff0c;最基本的计算是乘法累…

CSS-盒子模型

CSS盒子模型 盒子模型解释 元素在页面中显示成一个方块&#xff0c;类似一个盒子&#xff0c;CSS盒子模型就是使用实现中盒子来做比喻&#xff0c;帮助我们设置元素对应的样式。盒子模型示意图如下&#xff1a; 把元素叫做盒子&#xff0c;设置对应的样式分别为&#xff1a; 盒…

2.1.4 ★(考察计算能力)奈氏准则和香农定理

2.1.4 奈氏准则和香农定理 文章目录2.1.4 奈氏准则和香农定理0.思维导图1. 失真2. 失真的一种现象--码间串扰3.奈氏准则(奈奎斯特定理)4. 奈氏准则(奈奎斯特定理)-练5. 香农定理6. 香农定理-例题7. “nice”和“香浓”对比0.思维导图 1. 失真 2. 失真的一种现象–码间串扰 3.奈…

未来哲学的六个问题域

来源&#xff1a;中科院哲学所作者&#xff1a;约翰R塞尔&#xff08;John R. Searle&#xff09;译者&#xff1a;GTY约翰塞尔生于1932年&#xff0c;当代著名哲学家&#xff0c;现为美国加州大学伯克利分校Slusser哲学教授&#xff0c;在语言哲学、心灵哲学和社会哲学领域贡献…

2.2_ 4_ FCFS、SJF、 HRRN调度算法

文章目录知识总览先来先服务短作业优先高响应比优先知识回顾和重要考点知识总览 先来先服务 短作业优先 高响应比优先 知识回顾和重要考点

当AI学会高数:解题、出题、评分样样都行

来源&#xff1a;AI科技评论“高等数学里程碑式的研究”&#xff0c;114页论文让AI文理双修&#xff0c;也许不久后机器出的高数试卷就会走进高校课堂&#xff0c;这下可以说“高数题不是人出的了”。人工智能虽然给我们带来了诸多便利&#xff0c;但也不免受到了各种质疑。在互…

2.3_ 1_ 进程同步、进程互斥

2.3_ 1_ 进程同步、进程互斥 文章目录2.3_ 1_ 进程同步、进程互斥1.知识概览2.什么是进程同步&#xff1f;2.什么是进程互斥3.知识回顾1.知识概览 2.什么是进程同步&#xff1f; 2.什么是进程互斥 3.知识回顾

IEEE Fellow李世鹏 :人工智能与机器人前沿研究之思考

来源&#xff1a;AI科技评论作者&#xff1a;维克多编辑&#xff1a;青暮2021年12月9日&#xff0c;由粤港澳大湾区人工智能与机器人联合会、雷峰网合办的第六届全球人工智能与机器人大会&#xff08;GAIR 2021&#xff09;在深圳正式启幕&#xff0c;140余位产学领袖、30位Fel…

2.3.2. 进程互斥的软件实现方法

2.3.2. 进程互斥的软件实现方法 文章目录2.3.2. 进程互斥的软件实现方法1.知识总览2.单标志法3.双标志先检查法4.双标志后检查法5. perterson算法6. 知识回顾1.知识总览 2.单标志法 3.双标志先检查法 4.双标志后检查法 5. perterson算法 6. 知识回顾

哲学的终极解释:48张图了解48种主义

来源&#xff1a;今日头条编辑&#xff1a;nhyilin哲学家建立了事物的基本概念&#xff0c;我们在讨论中遵循它&#xff0c;有时误用它&#xff0c;有时颠覆它。以下48个基本概念常常出现在公共讨论里&#xff0c;伦敦设计师Genis Carreras用最简单的线条、形状和色块对它们进行…

2.1.5编码与调制(1)

文章目录2.1.5编码与调制(1)1.基带信号与宽带信号2. 编码与调制2.1.5编码与调制(1) 1.基带信号与宽带信号 2. 编码与调制

改名Meta俩月,脸书放弃虚拟现实操作系统:负责人跳槽谷歌

来源&#xff1a;机器学习研究组订阅元宇宙&#xff0c;到头来还得是安卓系统&#xff1f;这些年来&#xff0c;facebook 在增强现实和虚拟现实领域投入了大量资金。扎克伯格甚至已经把公司名称改成了 Meta&#xff0c;认为元宇宙将是公司未来的主营业务&#xff0c;不过理想很…