简介
- Spring Security是一个Java框架,用于保护应用程序的安全性。它提供了一套全面的安全解决方案,包括身份验证、授权、防止攻击等功能。
- Spring Security基于过滤器链的概念,可以轻松地集成到任何基于Spring的应用程序中。它支持多种身份验证选项和授权策略,开发人员可以根据需要选择适合的方式。
- 此外,Spring Security还提供了一些附加功能,如集成第三方身份验证提供商和单点登录,以及会话管理和密码编码等。
- 总之,Spring Security是一个强大且易于使用的框架,可以帮助开发人员提高应用程序的安全性和可靠性。
登入校验流程
- 用户输入账号密码请求登入接口
- 后端根据参数去数据库查询是否存在用户
- 如果存在数据,会返回一个JWT
- 前端拿到JWT之后,访问其他请求都需要携带这个JWT
- 后端拿到JWT之后,解析并获取其中的用户信息
- 如果用户有权限则允许访问相关资源
查看springSecurity的过滤器链
- pom.xml添加如下依赖
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId>
</dependency>
- main方法
public static void main(String[] args) {ConfigurableApplicationContext context = SpringApplication.run(MybatisBatchInsertApplication.class, args);System.out.println("context = " + context);}
此处编写System.out.println("context = " + context);只是为了方便打断点
每一个过滤器的作用与功能
- WebAsyncManagerIntegrationFilter
- 作用:确保在异步 Web 请求处理过程中,SecurityContext 能正确传递。
- 功能:集成 Spring Security 与 Spring Web 的异步请求支持。
- SecurityContextPersistenceFilter
- 作用:负责加载和存储 SecurityContext,它包含当前用户的安全信息。
- 功能:在请求开始时加载 SecurityContext,在请求结束时存储 SecurityContext。
- HeaderWriterFilter
- 作用:添加安全相关的 HTTP 头部。
- 功能:例如,设置 X-Content-Type-Options、X-Frame-Options、X-XSS-Protection 头部来防止各种常见的攻击。
- CsrfFilter
- 作用:防御跨站请求伪造(CSRF)攻击。
- 功能:在每个请求中验证 CSRF 令牌,确保请求是由合法用户发出的。
- LogoutFilter
- 作用:处理用户的注销请求。
- 功能:执行注销逻辑,清除用户的认证信息和会话。
- UsernamePasswordAuthenticationFilter
- 作用:处理基于表单的登录认证请求。
- 功能:验证用户提交的用户名和密码,如果成功,生成认证信息并存储在 SecurityContext 中。
- DefaultLoginPageGeneratingFilter
- 作用:生成默认的登录页面。
- 功能:在没有自定义登录页面时,提供一个默认的登录页面。
- DefaultLogoutPageGeneratingFilter
- 作用:生成默认的注销页面。
- 功能:在没有自定义注销页面时,提供一个默认的注销页面。
- BasicAuthenticationFilter
- 作用:处理 HTTP Basic 认证。
- 功能:从 HTTP 请求头中提取用户名和密码,并进行认证。
- RequestCacheAwareFilter
- 作用:处理请求缓存。
- 功能:在用户登录后,自动重定向到登录前尝试访问的受保护资源。
- SecurityContextHolderAwareRequestFilter
- 作用:为 HttpServletRequest 提供一些辅助方法。
- 功能:使得请求对象在安全上下文中更便于使用,例如提供获取当前用户的方法。
- AnonymousAuthenticationFilter
- 作用:为未认证的用户提供匿名身份。
- 功能:如果用户没有登录,赋予其匿名身份,以便应用程序能够处理匿名用户的请求。
- SessionManagementFilter
- 作用:处理会话管理相关的功能。
- 功能:例如防止会话固定攻击,确保会话在用户认证之后安全。
- ExceptionTranslationFilter
- 作用:将认证异常转换为适当的 HTTP 响应。
- 功能:处理认证异常(如 AccessDeniedException 和 AuthenticationException),并将其转换为适当的 HTTP 状态码和错误信息。
- FilterSecurityInterceptor
- 作用:执行最终的访问控制决策。
- 功能:根据配置的访问决策管理器和投票器,决定请求是否被允许访问目标资源。
生成JWT的核心算法
/*** 生成jwt* @param subject 需要加密的信息* @param ttlMillis 过期时间* @param uuid 唯一id* @return*/private static JwtBuilder getJwtBuilder(String subject, Long ttlMillis, String uuid) {SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;SecretKey secretKey = generalKey();long nowMillis = System.currentTimeMillis();Date now = new Date(nowMillis);if(ttlMillis==null){ttlMillis=JwtUtil.JWT_TTL;}long expMillis = nowMillis + ttlMillis;Date expDate = new Date(expMillis);return Jwts.builder().setId(uuid) .setSubject(subject) .setIssuer("whs") .setIssuedAt(now)//使用HS256对称加密算法签名, 第二个参数为秘钥.signWith(signatureAlgorithm, secretKey) .setExpiration(expDate);}
解析JWT的核心算法
/*** 解析jwt* @param jwt* @return* @throws Exception*/public static Claims parseJWT(String jwt) throws Exception {SecretKey secretKey = generalKey();return Jwts.parser().setSigningKey(secretKey).parseClaimsJws(jwt).getBody();}
点击查看项目完整代码