Spring Security基于token的极简示例

1 引言

Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架，但是用起来有点复杂，为了便于学习理解，下面将用最简洁的配置和示例，展示整个流程。

2 代码

创建一个spring-security-demo的项目，总共包含5个文件
在这里插入图片描述

2.1 pom.xml

引入spring-boot-starter-security

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd"><modelVersion>4.0.0</modelVersion><groupId>org.example</groupId><artifactId>spring-security-demo</artifactId><version>1.0-SNAPSHOT</version><properties><maven.compiler.source>17</maven.compiler.source><maven.compiler.target>17</maven.compiler.target><project.build.sourceEncoding>UTF-8</project.build.sourceEncoding></properties><!--  为Spring Boot项目提供一系列默认的配置和依赖管理--><parent><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-parent</artifactId><version>3.3.2</version><relativePath/></parent><dependencies><!--  Spring Boot核心依赖--><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter</artifactId></dependency><!-- Spring Boot单元测试和集成测试的依赖--><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-test</artifactId><scope>test</scope></dependency><!-- Spring Boot构建Web应用程序的依赖--><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependency><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId></dependency></dependencies></project>

2.2 application.properties

保持空白即可

2.3 org/example/Main.java

启动类

package org.example;import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;@SpringBootApplication
public class Main {public static void main(String[] args) {SpringApplication.run(Main.class, args);}}

2.4 org/example/controller/UserController.java

测试类，注意@PreAuthorize注解，用于标记每个接口的权限标识

package org.example.controller;import org.example.conf.SecurityConfig;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.http.HttpStatus;
import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;import java.util.*;@Controller
@RequestMapping("/user")
public class UserController {@Autowiredprivate AuthenticationManager authenticationManager;private Map<String, Object> returnOk(String obj) {Map<String, Object> map = new HashMap<>();map.put("code", HttpStatus.OK.value());map.put("msg", "ok");map.put("data", obj);return map;}private Map<String, Object> returnError(String msg) {Map<String, Object> map = new HashMap<>();map.put("code", HttpStatus.INTERNAL_SERVER_ERROR.value());map.put("msg", msg);return map;}@PreAuthorize("hasAuthority('user:hello')")@RequestMapping("/hello")@ResponseBodypublic Object hello() {System.out.println("hello");return returnOk("hello");}@PreAuthorize("hasAuthority('user:hello1')")@RequestMapping("/hello1")@ResponseBodypublic Object hello1() {System.out.println("hello1");return returnOk("hello1");}@PostMapping("/login")@ResponseBodypublic Object login(@RequestBody Map<String, String> param) {String username = param.get("username");String password = param.get("password");//调用Spring Security的loadUserByUsername方法获取用户信息UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken = new UsernamePasswordAuthenticationToken(username, password);Authentication authenticate = authenticationManager.authenticate(usernamePasswordAuthenticationToken);if (authenticate == null) {return returnError("用户不存在");} else {UserDetails userDetails = (UserDetails) authenticate.getPrincipal();//验证密码BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();if (!passwordEncoder.matches(password, userDetails.getPassword())) {return returnError("账号密码错误");}// 生成tokenString token = UUID.randomUUID().toString();// 存储tokenSecurityConfig.tokenMap.put(token, userDetails);return returnOk(token);}}@PostMapping("/logout")@ResponseBodypublic Object logout() {return returnOk("退出成功");}}

2.5 org/example/conf/SecurityConfig.java

Spring Security配置，为了简化代码，便于查看，我将所有需要自定义的类，以内部类的方式放到里面，然后引入到filterChain方法中即可。

package org.example.conf;import com.fasterxml.jackson.databind.ObjectMapper;
import jakarta.servlet.FilterChain;
import jakarta.servlet.ServletException;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpStatus;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.ProviderManager;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.method.configuration.EnableMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.web.AuthenticationEntryPoint;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
import org.springframework.security.web.authentication.WebAuthenticationDetailsSource;
import org.springframework.security.web.authentication.logout.LogoutSuccessHandler;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;
import org.springframework.web.filter.OncePerRequestFilter;import java.io.IOException;
import java.util.*;/*** spring security配置*/
@EnableMethodSecurity(prePostEnabled = true, securedEnabled = true)
@Configuration
public class SecurityConfig {/*** 简单模拟token存储，可以用redis代替。*/public static Map<String, UserDetails> tokenMap = new HashMap<>();/*** 自定义token过滤器*/public static class MyOncePerRequestFilter extends OncePerRequestFilter {@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {String token = request.getHeader("token");System.out.println("url=" + request.getRequestURI() + ",token=" + token);UserDetails userDetails = tokenMap.get(token);if (null != userDetails) {//如果token存在，则进行spring security权限验证UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());authenticationToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));SecurityContextHolder.getContext().setAuthentication(authenticationToken);}chain.doFilter(request, response);}}/*** 自定义未授权访问处理逻辑*/public static class AuthenticationEntryPointImpl implements AuthenticationEntryPoint {@Overridepublic void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {Map<String, Object> map = new HashMap<>();map.put("code", HttpStatus.INTERNAL_SERVER_ERROR.value());map.put("msg", "无权限访问该资源");response.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value());response.setContentType("application/json");response.setCharacterEncoding("utf-8");response.getWriter().print(new ObjectMapper().writeValueAsString(map));}}/*** 定义退出处理逻辑*/public static class LogoutSuccessHandlerImpl implements LogoutSuccessHandler {@Overridepublic void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {String token = request.getHeader("header");tokenMap.remove(token);Map<String, Object> map = new HashMap<>();map.put("code", HttpStatus.OK.value());map.put("msg", "退出成功");response.setStatus(HttpStatus.OK.value());response.setContentType("application/json");response.setCharacterEncoding("utf-8");response.getWriter().print(new ObjectMapper().writeValueAsString(map));}}/*** 定义身份认证处理逻辑*/public static class UserDetailsServiceImpl implements UserDetailsService {@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {// 一般情况下，从数据库查询用户信息和权限信息，TODO// 为了方便测试，直接模拟用户信息和权限信息。Set<GrantedAuthority> authorities = new HashSet<>();authorities.add(new SimpleGrantedAuthority("user:hello"));authorities.add(new SimpleGrantedAuthority("user:hello2"));return getUserDetails(username, new BCryptPasswordEncoder().encode("123456"), authorities);}private UserDetails getUserDetails(String username, String password, Set<GrantedAuthority> authorities) {return new UserDetails() {@Overridepublic Collection<? extends GrantedAuthority> getAuthorities() {return authorities;}@Overridepublic String getPassword() {return password;}@Overridepublic String getUsername() {return username;}@Overridepublic boolean isAccountNonExpired() {return UserDetails.super.isAccountNonExpired();}@Overridepublic boolean isAccountNonLocked() {return UserDetails.super.isAccountNonLocked();}@Overridepublic boolean isCredentialsNonExpired() {return UserDetails.super.isCredentialsNonExpired();}@Overridepublic boolean isEnabled() {return UserDetails.super.isEnabled();}};}}@Beanprotected SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception {return httpSecurity// 不使用session,禁用CSRF.csrf(csrf -> csrf.disable())// 禁用HTTP响应标头.headers((headersCustomizer) -> {headersCustomizer.cacheControl(cache -> cache.disable()).frameOptions(options -> options.sameOrigin());})// 定义未授权访问处理逻辑.exceptionHandling(exception -> exception.authenticationEntryPoint(new AuthenticationEntryPointImpl()))// 不使用session.sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))// 记允许匿名访问的url.authorizeHttpRequests((requests) -> {requests.requestMatchers("/user/login", "/user/register").permitAll()// 除上面外的所有请求全部需要鉴权认证.anyRequest().authenticated();})// 定义退出处理逻辑.logout(logout -> logout.logoutUrl("/user/logout").logoutSuccessHandler(new LogoutSuccessHandlerImpl()))// 定义token过滤器.addFilterBefore(new MyOncePerRequestFilter(), UsernamePasswordAuthenticationFilter.class).build();}/*** 身份验证实现*/@Beanpublic AuthenticationManager authenticationManager() {DaoAuthenticationProvider daoAuthenticationProvider = new DaoAuthenticationProvider();daoAuthenticationProvider.setUserDetailsService(new UserDetailsServiceImpl());daoAuthenticationProvider.setPasswordEncoder(new BCryptPasswordEncoder());return new ProviderManager(daoAuthenticationProvider);}/*** 跨域配置*/@Beanpublic CorsFilter corsFilter() {CorsConfiguration config = new CorsConfiguration();config.setAllowCredentials(true);// 设置访问源地址config.addAllowedOriginPattern("*");// 设置访问源请求头config.addAllowedHeader("*");// 设置访问源请求方法config.addAllowedMethod("*");// 有效期 1800秒config.setMaxAge(1800L);// 添加映射路径，拦截一切请求UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();source.registerCorsConfiguration("/**", config);// 返回新的CorsFilterreturn new CorsFilter(source);}}

3 测试

  1. 启动项目访问http://localhost:8080/user/hello，可以看到提示"无权限访问该资源"，由于未登录，请求被正常拦截。
    在这里插入图片描述
  2. post调用 http://localhost:8080/user/login进行登录操作，用户名随意，密码123456（在认证方法中自定义的）。然后可以看到返回了data即自定义的token值。
    在这里插入图片描述
    在这里插入图片描述
  3. 再次访问http://localhost:8080/user/hello，并提前将token值放到header中。可以看到成功返回，表示请求通过了权限验证。这与我们设置的权限标识刚好一致。
    在这里插入图片描述
    在这里插入图片描述在这里插入图片描述4. 用该token继续访问http://localhost:8080/user/hello1，可以看到 “无权限访问该资源”，由于我们没有赋予用户"user:hello1"的权限标识，请求被正常拦截。

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/412612.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

单图生成 2D 和 3D 人物，高质量图像处理模型 CharacterGen来啦！

单图生成 2D 和 3D 人物，高质量图像处理模型 CharacterGen来啦！

CharacterGen引入了一个简化的生成流程和一个图像条件的多视图扩散模型。该模型有效地将输入姿态校准到规范形式&#xff0c;同时保留输入图像的关键属性&#xff0c;从而解决了多样化姿态带来的挑战。 CharacterGen的另一个核心组成部分是基于Transformer的、可泛化的稀疏视图…
阅读更多...
kafka 入门

kafka 入门

kafka 有分区和副本的概念&#xff0c;partition 3 表示有3个分区&#xff0c;replication 2 表示有2个副本 通过 --describe --topic test命令可以知道 test这个 主题的分区和副本情况&#xff0c;途中的replicas 表示 其他副本分区的情况&#xff0c;如第一条&#xff0c;t…
阅读更多...
【spring】学习笔记2：sample、boot功能和组件设计

【spring】学习笔记2：sample、boot功能和组件设计

Spring自带了一个强大的Web框架，名为Spring MVC。Spring MVC的核心 是控制器（controller）的理念。控制器是处理请求并以某种方式进行信息 响应的类。在面向浏览器的应用中，控制器会填充可选的数据模型并将请求 传递给一个视图，以便于生成返回给浏览器的HTML。在pom.xml文件…
阅读更多...
免费批量Excel文件合并、拆分软件

免费批量Excel文件合并、拆分软件

软件介绍 下载地址&#xff1a;https://pan.quark.cn/s/ae860a4e2ccb 1.多个XLS或XLSX格式EXCEL文件合并&#xff0c;合并后可使用数据透视表进行相关操作。 2.自动合并多个EXCEL文件的第一个工作表&#xff0c;并汇总成一张表&#xff0c;可根据所有列标题需要指定需要的列。 …
阅读更多...
Ethernet 测试系列（1）-- 物理层测试::IOP Test::Link-up time

Ethernet 测试系列（1）-- 物理层测试::IOP Test::Link-up time

车载以太网物理层IOP测试&#xff0c;即互操作性测试&#xff08;Interop- erability Tests&#xff09;&#xff0c;用于验证车载以太网PHY&#xff08;通常也称为收发器&#xff09;的可靠性和检查PHY能否在给定的有限时间内建立稳定的链路;还用于车载以太网PHY的诊断&#x…
阅读更多...
Unity编辑器扩展之Hierarchy面板扩展

Unity编辑器扩展之Hierarchy面板扩展

内容将会持续更新&#xff0c;有错误的地方欢迎指正&#xff0c;谢谢! Unity编辑器扩展之Hierarchy面板扩展 TechX 坚持将创新的科技带给世界&#xff01; 拥有更好的学习体验 —— 不断努力&#xff0c;不断进步&#xff0c;不断探索 TechX —— 心探索、心进取&#xff…
阅读更多...
JavaScript学习文档（11）：Window对象、本地存储、数组中一些方法、学生就业统计表案例

JavaScript学习文档（11）：Window对象、本地存储、数组中一些方法、学生就业统计表案例

目录 一、Window对象 1、BOM(浏览器对象模型) 2、定时器-延时函数 3、 JS执行机制 &#xff08;1&#xff09;同步任务&#xff1a; &#xff08;2&#xff09;异步任务&#xff1a; 4、location对象 &#xff08;1&#xff09;5秒钟后跳转页面 5、navigator对象 6、…
阅读更多...
乐城堡 JoyCastle Unity岗位笔试题

乐城堡 JoyCastle Unity岗位笔试题

1)实现 move(GameObjct gameObject, Vector3 begin, Vector3 end, float time, bool pingpong){ } 使 gameObject 在 time 秒内&#xff0c;从 begin 移动到 end&#xff0c;若 pingpong 为 true&#xff0c;则在结束时 使 gameObject 在 time 秒内从 end 移动到 begin&#xf…
阅读更多...
FPGA上板项目（三）——RAM测试

FPGA上板项目（三）——RAM测试

目录 实验内容实验原理实验步骤实验用时序波形HDL 代码仿真综合实现上板测试 实验内容 对 FPGA 内部的 RAM 进行数据读写操作。 实验原理 RAM &#xff08;Random Access Memory&#xff09;&#xff0c;是可以进行数据交换的存储器&#xff0c;可读可写&#xff1b;而 ROM&…
阅读更多...
操作系统：实验六文件操作实验

操作系统：实验六文件操作实验

一、实验目的 1、了解文件系统功能及实现原理。 2、掌握LINUX下文件操作的有关系统调用。 3、熟悉main函数带参数运行的有关操作过程。 4、通过模拟程序实现简单的一级文件系统或二级文件系统。 二、实验内容 1、编程显示文件自身。&#xff08;1分&#xff09; #includ…
阅读更多...
Java学习第五天

Java学习第五天

数组 数组适合做一批同类型数据的存储。 静态初始化数组&#xff1a; 注意&#xff1a;数组变量名中存储的是数组在内存中的地址&#xff0c;数组是引用类型。 数组的访问 动态初始化数组&#xff1a; 数组的遍历&#xff1a; 注意左边和右边的区别&#xff0c;一个是改变数组…
阅读更多...
桥接与NET

桥接与NET

仔细看看下面两幅图 net模式&#xff0c;就是在你的Windows电脑&#xff08;假设叫A电脑&#xff09;的网络基础上&#xff0c;再生成一个子网络&#xff0c;ip的前两位默认就是192.168&#xff0c;然后第三位是随机&#xff0c;第四位是自己可以手动设置的。使用这种模式唯一的…
阅读更多...
grpc-spring 通信（选型,grpc-ecosystem/grpc-spring）

grpc-spring 通信（选型,grpc-ecosystem/grpc-spring）

需求 需要一个在稳定网络环境里高性能且开发和部署成本较小&#xff0c;且多平台&#xff0c;且对视频传输和消息订阅和推送的支持比较好的&#xff0c; 一套环境 先说结论因为结论先得到的&#xff0c; 问AI了&#xff0c; 发现一个新东西gRPC ,看了下非常好。 再说过程&…
阅读更多...
【2024 CCF编程能力等级认证（GESP）C++ 】一级大纲

【2024 CCF编程能力等级认证（GESP）C++ 】一级大纲

目录 1. 背景2. 考核知识块3. 考核内容3.1 计算机基础知识3.2 集成开发环境3.3 结构化程序设计3.4 程序的基本语句3.5 程序的基本概念3.6 基本运算3.7 基本数据类型4. 考核目标5. 题型分布6. 考试时长7. 认证时间与报名8. 政策与福利9. GESP一级认证形式 1. 背景 官网&#xff…
阅读更多...
OceanBase V4 技术解读：从Alter Table 看DDL的支持

OceanBase V4 技术解读：从Alter Table 看DDL的支持

背景 数据库类型可以划分为两大类&#xff1a;关系型数据库和非关系型数据库。而关系型数据库以表格形式进行数据组织&#xff0c;同时遵循表关系的约束&#xff0c;例如创建一张表&#xff0c;表里面包含多个列&#xff0c;不同的列可以有不同的类型。当需要改表结构&#xf…
阅读更多...
数学建模赛前备赛——模拟退火算法

数学建模赛前备赛——模拟退火算法

一.什么是智能优化算法 智能优化算法本质上是一个优化算法,它通过不断优化模型的参数,使得系统表现达到最优&#xff0c;常见的只能优化算法有很多&#xff0c;比如说蚁群算法,遗传算法以及我们今天的主角——模拟退火算法。 二.模拟算法的前身——爬山算法 爬山算法是一种简…
阅读更多...
开放大世界的碰撞与物理

开放大世界的碰撞与物理

众所周知&#xff0c;物理开销一直是 CPU 的一个大头&#xff0c;而且还很容易出问题。对于开放世界&#xff0c;该如何进行物理运算&#xff0c;以及采用什么方案计算碰撞。 本文针对这个问题做了一些细微的研究&#xff0c;算是对 Unity 下的解决方案有了一个大致的方向。 1、…
阅读更多...
Gartner报告解读：如何帮助企业完善数据分析与治理路线图

Gartner报告解读：如何帮助企业完善数据分析与治理路线图

Gartner服务于全球100多个国家和地区的14,000余家机构&#xff0c;是一家深受客户信赖、观点客观的研究顾问公司。Garnter洞察、建议和工具可帮助您发现创新机遇&#xff0c;完成关键优先任务&#xff0c;助您成为企业不可或缺的战略专家和价值创造者。该公司是标普 500 指数成…
阅读更多...
手把手教在Linux系统服务器下运行HM编码

手把手教在Linux系统服务器下运行HM编码

先在SVN上下载HM文件包&#xff0c;可以看到文件中有linux文件夹&#xff0c;如果在windows下运行直接打开sln后缀的项目。不清楚的看这个&#xff1a; 一、准备工作 1、删除linux文件加下makefile.base中-Werror&#xff0c;文件路径如下&#xff1a; 打开文件&#xff0c;c…
阅读更多...
自制深度学习推理框架之表达式层的设计与实现

自制深度学习推理框架之表达式层的设计与实现

文章目录 一、表达式Expression二、词法解析2.1 词法定义2.2 词法解析 三、语法解析3.1 语法树的定义3.2 语法树构建3.3 语法树的转换(逆波兰式) 四、表达式层4.1 ExpressionLayer和ExpressionParser类4.2 表达式层的注册4.3 表达式层的输入处理4.4 表达式层的计算过程 五、计算…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023