《Spring Security3》第三章第一部分翻译

第三章   增强用户体验

在本章中，我们将对JBCP Pets在线商店增加一些功能，这些新功能能够为用户提供更愉悦和可用的用户体验，同时提供一些对安全系统很重要的功能。

在本章中，我们将要：

l  按照你的意愿自定义登录和退出页面，并将它们与标准的Spring web MVC的控制器相关联；

l  使用remember me功能为用户提供便利，并理解其背后的安全含义；

l  构建用户账号管理功能，包括修改密码以及密码遗忘找回功能。

自定义登录页

你可能还记得在前一章中，我们使用了Spring Security的security命名空间的基本配置功能。这为我们提供了基本的登录、认证和授权功能，但是这肯定没有到达产品质量的要求。在我们向老板汇报进度前，要添加的一个很重要的增强功能就是使得登录界面在展现和行为上与我们在线应用的其他地方保持一致。

回忆一下现在的登录界面大致如下所示：

 

自动配置并没有为我们提供很多其他的功能，如为登录页面添加样式。我们要为站点增加以下的功能：

l  拥有页头、页脚以及与JBCP Pets样式一致的登录页；

l  允许用户退出的链接

l  允许用户修改密码的页面。

登录和退出的流程应该如下图所示：

 

我们将会通过一系列的练习来开发完善这个站点的结构。当开发登录和退出功能时，我们将会讲解所做的内容，所以当我们需要扩展站点的基本功能时，能够对于我们构建的内容有一个清晰的理解。

实现自定义的登录页

首先，我们需要一个集成于我们系统的登录页来替代默认的Spring Security登录页。需要的登录流程如下图所示：

 

实现登录的controller

我们需要添加一个Spring MVC的控制器来实现登录功能，以及以后的退出功能。JBCP Pets站点使用Spring MVC基于注解的机制来实现控制器与站点路径和资源的配置。让我们在包下com.packtpub.springsecurity.web.controller创建一个名为LoginLogoutController的controller，并包含以下的内容：

 

// imports omitted

@Controller

public class LoginLogoutController extends BaseController{

  @RequestMapping(method=RequestMethod.GET,value="/login.do")

  public void home() {

  }

}

可以看到，我们添加了一个非常简单的controller，并将其唯一的方法匹配至/login.do这个URL地址。这是我们编写简单的自定义登录页所要做的全部事情，这将替代Spring Security基本配置中为我们添加的登录页。BaseController基类在第二章：Spring Security起步的代码中已经添加，它提供了一个便利的地方我们可以添加应用中所有controller都能用到的方法。

添加登录JSP

/login.do引用将会导致我们在WEB-INF/dogstore-servlet.xml配置的Spring MVC view resolver去/WEB-INF/views目录下寻找名为login.jsp的JSP文件。让我们添加一个包含登录form的简单JSP，它将被Spring Security识别和使用。在第二章中我们已经学到，为了保证接下来的行为能够被正确的执行，登录的form中有两个重要的元素必须要被正确的设置：

l  Form action必须与UsernamePasswordAuthenticationFilter过滤器的action的配置相一致。默认的form action是j_spring_security_check；

l  用户名和密码的表单域要与servlet的标准相一致。默认j_username和j_password是文本域的名字。

我们同时会在这个JSP中包含站点的页头和页脚（本章的示例代码中添加了这部分，但是在本书的内容中没有进行罗列，因为它们在这里并不是阐述的重点所在）。这些完成后，得到一个简单的JSP：

 

 <%@ page language="java" contentType="text/html; charset=ISO-8859-1"

pageEncoding="ISO-8859-1"%>

<jsp:include page="common/header.jsp">

  <jsp:param name="pageTitle" value="Login"/>

</jsp:include>

<h1>Please Log In to Your Account</h1>

<p>

  Please use the form below to log in to your account.

</p>

<form action="j_spring_security_check" method="post">

  <label for="j_username">Login</label>:

  <input id="j_username" name="j_username" size="20" maxlength="50"

type="text"/>

  <br />

  <label for="j_password">Password</label>:

  <input id="j_password" name="j_password" size="20" maxlength="50"

type="password"/>

  <br />

  <input type="submit" value="Login"/>

</form>

<jsp:include page="common/footer.jsp"/>

需要注意的是，必须使用post方式的form提交，否则UsernamePasswordAuthenticationFilter会拒绝登录请求。

最后，我们还需要Spring Security的自动配置来引用我们新的登录页面。如果你在此时迫不及待想看一下效果的话，我们实际上只是为应用增加了一个新的工作页面。按照上面的流程并输入以下的地址http://localhost:8080/JBCPPets/login.do，看看发生了什么。

什么？你是否发现你的请求首先被Spring Security拦截了（被重定向到spring_security_login）并且能够看见那个登录的form？这是因为Spring Security依旧指向了DefaultLoginPageGeneratingFilter生成的默认登录页。一旦你通过了这个过滤器生成的默认登录页，你才能够看到新的自定义登录页。最后一步就是要移除默认页并使用我们的登录form作为登录页。

配置Spring Security以使用我们的Spring MVC登录页

按照第一感觉，貌似我们只需要配置Spring Security的配置文件中的<form-login>元素并添加login-page命令，大致如下所示：

 

 

    <http auto-config="true" use-expressions="true">

    <intercept-url pattern="/*" access="hasRole('ROLE_USER')"/>

    <form-login login-page="/login.do" />

  </http>

现在，启动应用并输入首页地址（http://localhost:8080/JBCPPets/home.do）。如果你使用的IE浏览器，你会发现页面根本没有渲染，但是页面的似乎在不停的加载。让我们切换到Mozilla Firefox并访问同样的地址。在Firefox下，你能够看到更多的信息，如下所示：

 

产生这样的问题是因为我们的URL拦截规则：

 

<intercept-url pattern="/*" access="hasRole('ROLE_USER')"/>

这将要求访问所有匹配/*的URL（这将匹配应用的所有页面，包括我们新的登录页）都需要拥有ROLE_USER角色。下面的图展现了发生了什么事情：

 

（其实上面发生了反复请求登录页的情况，死循环了——译者注）

我们需要修改认证规则来允许匿名用户能够访问登录页。

【对于所有给定的URL请求，Spring Security按照自顶向下的顺序评估认证规则。第一个匹配URL模式的规则将会被使用。这意味着你的授权规则将要按照最特殊的到最不特殊的规则来进行排列。这在开发复杂的规则集合时将会非常重要，因为开发人员经常会感到迷惑，因为他们有时会搞不清到底哪个规则会生效。记住自顶向下顺序，你将能够很容易地在任何场景下找到正确的对应规则。】

因为我们是要添加一个更特殊的规则，所以我们需要将其添加在列表的顶部。我们最终会得到如下的规则设置：

 

<intercept-url pattern="/login.do" access="permitAll"/>

<intercept-url pattern="/*" access="hasRole('ROLE_USER')"/>

这将能够达到我们想要的效果：允许任何用户访问登录页而限制站点的其他部分只能是认证用户才能访问。到此为止，已经完成了登录功能。让我们看一下要添加退出功能都需要做些什么。