SprigSecurity&&密码加密
程序员文章站
2024-03-19 14:02:04
...
Security :安全
SpringSecurity安全框架
- 属于Spring
- 提供声明式的安全访问和权限控制功能,减少代码编写量 .
- shiro也是一种安全框架,Security虽然包括shiro所没有的功能 , 但是不能脱离Spring框架 .
SpringSecurity使用
-
导入依赖
<!-- 管理,统一依赖的版本号 --> <properties> <spring.version>4.2.4.RELEASE</spring.version> </properties> <dependencies> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-core</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-web</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-webmvc</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-context-support</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-test</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework</groupId> <artifactId>spring-jdbc</artifactId> <version>${spring.version}</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-web</artifactId> <version>4.1.0.RELEASE</version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-config</artifactId> <version>4.1.0.RELEASE</version> </dependency> <dependency> <groupId>javax.servlet</groupId> <artifactId>servlet-api</artifactId> <version>2.5</version> <scope>provided</scope> </dependency> </dependencies> <build> <plugins> <!-- java编译插件 --> <plugin> <groupId>org.apache.maven.plugins</groupId> <artifactId>maven-compiler-plugin</artifactId> <version>3.2</version> <configuration> <source>1.7</source> <target>1.7</target> <encoding>UTF-8</encoding> </configuration> </plugin> <plugin> <groupId>org.apache.tomcat.maven</groupId> <artifactId>tomcat7-maven-plugin</artifactId> <configuration> <!-- 指定端口 --> <port>9090</port> <!-- 请求路径 --> <path>/</path> </configuration> </plugin> </plugins> </build> -
配置web.xml文件
<?xml version="1.0" encoding="UTF-8"?> <web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://java.sun.com/xml/ns/javaee" xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_2_5.xsd" version="2.5"> <context-param> <param-name>contextConfigLocation</param-name> <param-value>classpath:spring-security.xml</param-value> </context-param> <listener> <listener-class> org.springframework.web.context.ContextLoaderListener </listener-class> </listener> <filter> <filter-name>springSecurityFilterChain</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> </filter> <filter-mapping> <filter-name>springSecurityFilterChain</filter-name> <url-pattern>/*</url-pattern> </filter-mapping> </web-app> -
配置Spring的配置文件 spring-security.xml
<?xml version="1.0" encoding="UTF-8"?> <beans:beans xmlns="http://www.springframework.org/schema/security" xmlns:beans="http://www.springframework.org/schema/beans" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security.xsd"> <!-- 以下页面不被拦截 --> <http pattern="/login.html" security="none"></http> <http pattern="/login_error.html" security="none"></http> <!-- 页面拦截规则 --> <http use-expressions="false"> <intercept-url pattern="/*" access="ROLE_USER" /> <form-login login-page="/login.html" default-target-url="/index.html" authentication-failure-url="/login_error.html"/> <csrf disabled="true"/> <headers> <frame-options policy="SAMEORIGIN"/> </headers> <logout/> </http> <!-- 认证管理器 --> <authentication-manager> <authentication-provider> <user-service> <user name="admin" password="123456" authorities="ROLE_USER"/> </user-service> </authentication-provider> </authentication-manager> </beans:beans>
-
3.1
spring-security.xml的配置详解-
use-expressions=“false” 是否使用Spring的表达式语言spel , 默认为true .
-
若为true , 配置文件中
-
拦截配置应写成
-
-
intercept-url :表示拦截页面
-
/* 表示的是该目录下的资源，只包括本级目录不包括下级目录
-
/** 表示的是该目录以及该目录下所有级别子目录的资源
-
access=“ROLE_USER” 表示可以访问的角色用户
-
开启表单登录 ,
-
login-page：指定登录页面。
-
always-use-default-target="true"指定了是否在身份验证通过后总是跳转到default-target-url属性指定的URL。
-
security=“none” 设置此资源不被拦截. 若不设置为none , 页面会出现一直重定向 , 因为页面拦截之后会跳转到错误或者登录页面,而登录或者错误页面也被拦截掉了 , 就会一直重复出现重定向到登录或者错误页面的 .
-
authentication-failure-url：指定了身份验证失败时跳转到的页面。
-
default-target-url：指定了成功进行身份验证和授权后默认呈现给用户的页面。
-
csrf disabled=“true” 关闭csrf ,如果不加会出现错误
- CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。
-
<logout/>加此配置后，会自动的产生退出登录的地址/logout,如果你不想用这个地址 ，你也可以定义生成的退出地址以及跳转的页面，配置如下
<logout logout-url="" logout-success-url=""/>- logout-url:退出的地址，会自动生成
- logout-success-url:退出后跳转的地址
-
如果你在系统中使用了框架页，需要设置框架页的策略为SAMEORIGIN
<headers> <frame-options policy="SAMEORIGIN"/> </headers>
-
-
3.2 在配置时将样式代码页面全都设置为不被拦截,否则页面显示会与实际不符 .
密码加密
BCrypt加密算法
用户表的密码一般用MD5等不可逆的算法加密后储存到数据库中, 为防止彩虹表**,密码先使用一个特定的字符串加密 , 在随机使用一个随机的salt盐值加密 。 特定字符串是程序代码中固定的，salt是每个密码单独随机，一般给用户表加一个字段单独存储，比较麻烦。验证时也无需单独提供之前的salt，从而无需单独处理salt问题。
加密配置
先在代码程序中写
//密码加密
BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
String password = passwordEncoder.encode(seller.getPassword());
seller.setPassword(password);
再修改spring-security.xml文件
<beans:bean id="bcryptEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder" />
<!-- 认证管理器 -->
<authentication-manager alias="authenticationManager">
<authentication-provider user-service-ref='userDetailService'>
<password-encoder ref="bcryptEncoder"></password-encoder>
</authentication-provider>
</authentication-manager>
上一篇： SpringSecurity