一文上手SpringSecuirty【六】

自定义认证流程完成之后,前端收到了后端生成的token,那么在之后的所有请求当前,都必须携带token.作为服务器来说,得验证这个token,是否合法.

一、验证token是否合法

1.1 OncePerRequestFilter过滤器

OncePerRequestFilter是 Spring 框架中的一个过滤器，用于确保在一次请求处理过程中只执行一次特定的过滤逻辑。其主要作用为:

  • 单次请求过滤：
  • 这个过滤器的设计目的是为了避免在一个请求的处理过程中重复执行相同的过滤操作。例如，如果有一些资源初始化、安全检查或日志记录等操作只需要在每个请求中执行一次，就可以使用OncePerRequestFilter来确保这些操作不会被重复执行。
  • 这样可以提高应用程序的性能和效率，避免不必要的重复计算和资源消耗。
    其次它是一个抽象类,OncePerRequestFilter是一个抽象类，我们可以继承这个类来实现自己的过滤器逻辑,在子类中，可以重写doFilterInternal方法来定义具体的过滤操作。通过继承OncePerRequestFilter，可以利用其已经实现的一些基础功能，如确保单次执行和处理请求的流程控制。

可以将其应用在如下的场景当中:

  • 安全检查：
    可以使用OncePerRequestFilter来执行一些安全检查操作，如身份验证、授权检查或防止跨站请求伪造（CSRF）攻击。这些操作通常只需要在每个请求中执行一次，以确保请求的安全性。
  • 资源初始化：
    如果在请求处理过程中需要初始化一些资源，如数据库连接、缓存或其他共享资源，可以使用OncePerRequestFilter来确保这些资源只在每个请求的开始阶段进行初始化，避免重复初始化带来的性能开销。
  • 对于一些需要记录请求信息的场景，可以使用OncePerRequestFilter来进行日志记录。这样可以确保在每个请求中只记录一次关键信息，避免日志过于冗长和重复。

1

1.2 实现token校验逻辑

@Component
@Slf4j
public class TokenAuthenticationFilter extends OncePerRequestFilter {@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {// 1. 从请求头当中取出前端传递过来的tokenString token = request.getHeader("token");// 2. 判断一下token是否为空if(!StringUtils.hasText(token)){// 如果请求头当中没有传递token,直接放行.交给下一下过滤器去处理即可.filterChain.doFilter(request, response);return;}// 3. 解析tokentry {Claims claims = JwtUtil.parseJWT(token);String id = claims.getId();String subject = claims.getSubject();log.info("id:{},subject:{}", id, subject);// 解析出来subject和id了,这里的subject就是用户名称,由于这个token是由服务器下发的,服务能给发token,表示// 肯定已经认证成功了.我们要做的是根据解析出来的token信息,去数据库查询,能不能找到匹配的信息.如果能,则表示// 这个用户已经认证过了,直接放行就行了,如果找不到,那这个token可能是伪造的,就不能让访问资源 如果不匹配,也// 不能访问资源// 这里我们并没有使用数据库作为数据源,默认的用户名称和密码都是admin,不过密码是加密处理的密文而已.// 根据用户名称查询用户信息. 【我们这里模拟一下这个操作】String name = "admin";String password = "$2a$10$4/S6K/z/nF5eTk9KlF/PgOGtv2jlLGrzpO3oXINQAkNNlMqtVT6ru";// 封装认证对象UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken= new UsernamePasswordAuthenticationToken(name, password, Collections.emptyList());// 存储用户认证凭证,已经校验通过,表示已经认证过了,那么spring security的后续过滤器链,必须得拿到这个结果// 否则的话,会被当作没有认证的用户,继续去执行认证流程的.SecurityContextHolder.getContext().setAuthentication(usernamePasswordAuthenticationToken);// 放行操作filterChain.doFilter(request, response);}catch (Exception e){ // token抛出异常了,譬如说,过期了, 伪造啥的.不管是啥,我们都直接返回就行了// 记录一下日志,直接返回即可// 将错误信息写回给浏览器ResponseWriteUtils.write2Client(response, Result.error(-1, "认证异常,请重新登录"));}}
}

一些细节问题:

  • 注意看代码里的注释信息,非常重要
  • UsernamePasswordAuthenticationToken 对象的构建必须用三个参数的构造方法,最后一个参数表示用户权限列表
    • 三个参数的构造方法被调用的时候,会将认证状态设置为已经认证, 源码如下所示
public UsernamePasswordAuthenticationToken(Object principal, Object credentials,Collection<? extends GrantedAuthority> authorities) {super(authorities);this.principal = principal;this.credentials = credentials;// 就是这句,设置是否已经被认证了super.setAuthenticated(true); // must use super, as we override
}
  • setAuthentication存储认证凭证这里,由于我们服务器下发了token,表示已经认证过了,凭证起来给再接下来的spring security过滤器链当中要被使用到,简单来说,后续的spring security过滤器链,一看你有认证凭证了,那么不会再做认证处理了.
  • ResponseWriteUtils.write2Client方法就是写一些字符串返回给浏览器
public class ResponseWriteUtils {/*** 向客户端写JSON串* @param response* @param result*/public static void write2Client(HttpServletResponse response, Result result){response.setContentType("application/json;charset=UTF-8");response.setCharacterEncoding("UTF-8");try(PrintWriter writer = response.getWriter()){writer.println(JSON.toJSONString(result));writer.flush();}catch (Exception e){throw new RuntimeException(e);}}
}

1.3 将TokenAuthenticationFilter添加到spring security过滤器链当中

OncePerRequestFilter过滤器是由spring的提供的,本质上跟spring security没有半毛钱关系,但是我们代码当中:

String token = request.getHeader("token");
// 2. 判断一下token是否为空
if(!StringUtils.hasText(token)){// 如果请求头当中没有传递token,直接放行.交给下一下过滤器去处理即可.// 重点: 这里如果我们token没有,实际上我们是期望进入到spring security的认证流程的, 但是目前来说,自定义的过滤器和// spring security的过滤器链并没有啥关系filterChain.doFilter(request, response);return;
}

在spring security配置类当中,将我们自己定义的过滤器,添加到spring security的过滤器链当中,但是要注意添加位置,将其添加到UsernamePasswordAuthenticationFilter过滤器之前即可,HttpSecurity提供了相应的方法,如下所示:

@Configuration
public class SpringSecurityConfig {private final TokenAuthenticationFilter tokenAuthenticationFilter;public SpringSecurityConfig(TokenAuthenticationFilter tokenAuthenticationFilter) {this.tokenAuthenticationFilter = tokenAuthenticationFilter;}@Beanpublic AuthenticationManager authenticationManager(AuthenticationConfiguration authenticationConfiguration) throws Exception {return authenticationConfiguration.getAuthenticationManager();}@Beanpublic PasswordEncoder passwordEncoder(){return new BCryptPasswordEncoder();}@Beanpublic SecurityFilterChain securityFilterChain(HttpSecurity httpSecurity) throws Exception {return httpSecurity.authorizeHttpRequests(authorize -> {try {authorize.requestMatchers("/api/pub/v1/login").permitAll().requestMatchers("/static/**", "/resources/**").permitAll().anyRequest().authenticated();} catch (Exception e) {throw new RuntimeException(e);}}).csrf(AbstractHttpConfigurer::disable)// 将我们自己定义的过滤器添加到 UsernamePasswordAuthenticationFilter过滤器之前.addFilterBefore(tokenAuthenticationFilter, UsernamePasswordAuthenticationFilter.class).build();}
}

1.4 编写一个测试接口

测试使用如下代码,获致菜单列表

@RestController
public class HomeController {@GetMapping("/api/pub/v1/menus")public Result menuList(){List<String> menuList = new ArrayList<>();menuList.add("商品管理");menuList.add("用户管理");return Result.success(0, "获取列表碾", menuList);}
}

前端添加请求接口的处理

export const getMenuList = () => $http({url: '/menus', method: 'get'})

在Home路由组件当中,使用它进行一个简单的测试

<template><div><h1>主页展示</h1></div>
</template><script lang="ts">
export default {
name: 'Home'
}
</script>
<script lang="ts" setup>
import { onMounted, ref } from 'vue';
import {getMenuList} from '../../api/home'
let menuList = ref([])onMounted(async () => {const ret = await getMenuList()console.log(ret)
})</script>
<style scoped></style>

1.5 测试

启动服务,点击登录,查看后台输出
token
33
111
data
log

二、总结

2.1 重点内容

  • 校验token的流程
  • 在自定义的过滤器当中,要注意这里其实有一个查询数据库操作,从token里获取用户名称,此时我们要去根据用户名称,去数据库当中查询出用户信息,才能拿到密码还有权限信息,我们在示例当中,只是模拟了一下操作而已

2.2 下篇内容

  • 替换为真实的数据源

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/pingmian/54928.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

抖音支付回调验签 go 版本

抖音支付回调验签 go 版本

序言 最近在做抖音小程序支付&#xff0c;由于抖音开放平台的文档写的较为简陋&#xff0c;让人踩了不少坑&#xff0c;在这里整理一下做小程序支付的整个过程&#xff0c;以通用交易系统为例子。 准备条件 1&#xff09;申请小程序&#xff0c;开通支付功能 这里需要明确你小…
阅读更多...
鸿蒙开发（NEXT/API 12）【硬件（传感器开发）】传感器服务

鸿蒙开发（NEXT/API 12）【硬件（传感器开发）】传感器服务

使用场景 Sensor Service Kit&#xff08;传感器服务&#xff09;使应用程序能够从传感器获取原始数据&#xff0c;并提供振感控制能力。 Sensor&#xff08;传感器&#xff09;模块是应用访问底层硬件传感器的一种设备抽象概念。开发者可根据传感器提供的相关接口订阅传感器…
阅读更多...
Mitsuba 渲染基础

Mitsuba 渲染基础

Mitsuba 渲染基础 0. Abstract1. 安装 Mitsuba21.1 下载 Mitsuba2 源码1.2 选择后端 (variants)1.3 编译 2. [Mitsuba2PointCloudRenderer](https://github.com/tolgabirdal/Mitsuba2PointCloudRenderer)2.1 Mitsuba2 渲染 XML2.2 Scene 场景的 XML 文件格式2.2.1 chair.npy to…
阅读更多...
Comfyui 学习笔记2

Comfyui 学习笔记2

在潜空间放大&#xff0c;三种方法&#xff1a;NNLatentUpscale、Upscale Latent、Upscale Latent&#xff0c;其中只有NNLatentUpscale自带模型优化&#xff0c;其他两种需要KSample重新绘画&#xff0c;NNLatentUpscale后也可以接KSmaple。 像素空间放大&#xff0c;同理&am…
阅读更多...
大模型推理任务Nvidia GPU选型指南

大模型推理任务Nvidia GPU选型指南

大型语言模型 (LLM)&#xff08;如 GPT-4、BERT 和其他基于 Transformer 的模型&#xff09;彻底改变了 AI 格局。这些模型需要大量计算资源来进行训练和推理。选择合适的 GPU 进行 LLM 推理可以极大地影响性能、成本效益和可扩展性。 在本文中&#xff0c;我们将探索最适合 L…
阅读更多...
Spring的热部署工具和数据库密码加盐操作

Spring的热部署工具和数据库密码加盐操作

1.布置热部署 引言&#xff1a;在程序运行起来后&#xff0c;如果我们对代码进行了修改&#xff0c;需要重新测试修改后的程序&#xff0c;就得重新启动程序&#xff0c;这样很麻烦。于是引入热部署之后&#xff0c;我们就不需要重新启动程序&#xff0c;会自动更正。 1.配置po…
阅读更多...
牛顿迭代法求解x 的平方根

牛顿迭代法求解x 的平方根

牛顿迭代法是一种可以用来快速求解函数零点的方法。 为了叙述方便&#xff0c;我们用 C C C表示待求出平方根的那个整数。显然&#xff0c; C C C的平方根就是函数 f ( x ) x c − C f(x)x^c-C f(x)xc−C 的零点。 牛顿迭代法的本质是借助泰勒级数&#xff0c;从初始值开始快…
阅读更多...
前端大模型入门：使用Transformers.js手搓纯网页版RAG（二）- qwen1.5-0.5B - 纯前端不调接口

前端大模型入门：使用Transformers.js手搓纯网页版RAG（二）- qwen1.5-0.5B - 纯前端不调接口

书接上文&#xff0c;本文完了RAG的后半部分&#xff0c;在浏览器运行qwen1.5-0.5B实现了增强搜索全流程。但受限于浏览器和模型性能&#xff0c;仅适合于研究、离线和高隐私场景&#xff0c;但对前端小伙伴来说大模型也不是那么遥不可及了&#xff0c;附带全部代码&#xff0c…
阅读更多...
【深度学习】（5）--搭建卷积神经网络

【深度学习】（5）--搭建卷积神经网络

文章目录 搭建卷积神经网络一、数据预处理1. 下载数据集2. 创建DataLoader&#xff08;数据加载器&#xff09; 二、搭建神经网络三、训练数据四、优化模型 总结 搭建卷积神经网络 一、数据预处理 1. 下载数据集 在PyTorch中&#xff0c;有许多封装了很多与图像相关的模型、…
阅读更多...
vue3 通过 axios + jsonp 实现根据公网 ip， 查询天气信息

vue3 通过 axios + jsonp 实现根据公网 ip， 查询天气信息

前提 安装 axios 的 jsonp 适配器。 pnpm install pingtou/axios-jsonp 简单使用说明&#xff1a;当与后端约定的请求 callback 参数名称不为为 callback 时&#xff0c;可修改。一般无需添加。 1. 获取当前电脑 ip 和城市信息 请求地址&#xff1a; https://whois.pconl…
阅读更多...
Linux之我不会

Linux之我不会

一、常用命令 1.系统管理 1.1 systemctl start | stop | restart | status 服务名 案例实操 1 查看防火墙状态 systemctl status firewalld2 停止防火墙服务 systemctl stop firewalld3 启动防火墙服务 systemctl start firewalld4 重启防火墙服务 systemctl restart f…
阅读更多...
【Canvas与诗词】秋夕.杜牧(银烛秋光冷画屏......)

【Canvas与诗词】秋夕.杜牧(银烛秋光冷画屏......)

【成图】 【代码】 <!DOCTYPE html> <html lang"utf-8"> <meta http-equiv"Content-Type" content"text/html; charsetutf-8"/> <head><title>金六边形外圈绿色底录杜牧秋夕诗</title><style type"…
阅读更多...
【电商搜索】现代工业级电商搜索技术-Facebook语义搜索技术QueSearch

【电商搜索】现代工业级电商搜索技术-Facebook语义搜索技术QueSearch

【电商搜索】现代工业级电商搜索技术-Facebook语义搜索技术Que2Search 目录 文章目录 【电商搜索】现代工业级电商搜索技术-Facebook语义搜索技术Que2Search目录0. 论文信息1. 研究背景&#xff1a;2. 技术背景和发展历史&#xff1a;3. 算法建模3.1 模型架构3.1.1 双塔与分类 …
阅读更多...
NLP:BERT的介绍

NLP:BERT的介绍

1. BERT 1.1 Transformer Transformer架构是一种基于自注意力机制(self-attention)的神经网络架构&#xff0c;它代替了以前流行的循环神经网络和长短期记忆网络&#xff0c;已经应用到多个自然语言处理方向。   Transformer架构由两个主要部分组成&#xff1a;编码器(Encod…
阅读更多...
【HarmonyOS】应用引用media中的字符串资源如何拼接字符串

【HarmonyOS】应用引用media中的字符串资源如何拼接字符串

【HarmonyOS】应用引用media中的字符串资源如何拼接字符串 一、问题背景&#xff1a; 鸿蒙应用中使用字符串资源加载&#xff0c;一般文本放置在resoutces-base-element-string.json字符串配置文件中。便于国际化的处理。当然小项目一般直接引用字符串&#xff0c;不需要加载s…
阅读更多...
python爬虫：从12306网站获取火车站信息

python爬虫：从12306网站获取火车站信息

代码逻辑 初始化 (init 方法)&#xff1a; 设置请求头信息。设置车站版本号。 同步车站信息 (synchronization 方法)&#xff1a; 发送GET请求获取车站信息。返回服务器响应的文本。 提取信息 (extract 方法)&#xff1a; 从服务器响应中提取车站信息字符串。去掉字符串末尾的…
阅读更多...
如何通过Dockfile更改docker中ubuntu的apt源

如何通过Dockfile更改docker中ubuntu的apt源

首先明确我们有一个宿主机和一个docker环境&#xff0c;接下来的步骤是基于他们两个完成的 1.在宿主机上创建Dockerfile 随便将后面创建的Dockerfile放在一个位置,我这里选择的是 /Desktop 使用vim前默认你已经安装好了vim 2.在输入命令“vim Dockerfile”之后&#xff0c;…
阅读更多...
知识付费APP开发指南：基于在线教育系统源码的技术详解

知识付费APP开发指南：基于在线教育系统源码的技术详解

本篇文章&#xff0c;我们将探讨基于在线教育系统源码的知识付费APP开发的技术细节&#xff0c;帮助开发者和企业快速入门。 一、选择合适的在线教育系统源码 选择合适的在线教育系统源码是开发的关键一步。市场上有许多开源和商业化的在线教育系统源码&#xff0c;开发者需要…
阅读更多...
花都狮岭寄宿自闭症学校：开启孩子的生命之门

花都狮岭寄宿自闭症学校：开启孩子的生命之门

在花都狮岭这片充满温情的土地上&#xff0c;有一所特别的学校&#xff0c;它像一把钥匙&#xff0c;轻轻旋转&#xff0c;为自闭症儿童们开启了一扇通往无限可能的生命之门——这就是广州星贝育园自闭症儿童寄宿制学校。这所学校不仅是知识的摇篮&#xff0c;更是孩子们心灵成…
阅读更多...
React 启动时webpack版本冲突报错

React 启动时webpack版本冲突报错

报错信息&#xff1a; 解决办法&#xff1a; 找到全局webpack的安装路径并cmd 删除全局webpack 安装所需要的版本
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023