SpringSecurity个性化用户认证流程

一、自定义登录页面

我们不能每次都去使用SpringSecurity默认的很简单的登录页面样式去进行登录，需要我们去自定义自己的登录页面的话，我们怎么实现呢？
在BrowserSecurityConfig类中的configure方法中，我在http.formLogin()的后面去添加一行代码“.loginPage(“url”)”，那么在用户访问页面的时候就会去根据配置的这个url去访问相对应的自定义登录页面。

1.写页面

位置：在src->main->resources中我新建了一个文件夹resources，然后在此文件夹下创建文件“tinner-signIn.html”

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>登录</title>
</head>
<body>
    <h1>标准登录页面</h1>
    <h3>表单登录</h3>
        <form action="/authentication/form" method="post">
            <table>
                <tr>
                    <td>用户名：</td>
                    <td><input type="text" name="username"/></td>
                </tr>
                <tr>
                    <td>密码：</td>
                    <td><input type="password" name="password"/></td>
                </tr>
                <tr>
                    <td colspan="2"><button type="submit">登录</button></td>
                </tr>
            </table>
        </form>

</body>
</html>

2.自定义配置

@Configuration
public class BrowserSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SecurityProperties securityProperties;

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
//        super.configure(http);
        //实现的效果：让它去表单登录，而不是alert框
        http.formLogin()
                .loginPage("/tinner-signIn.html")
               .loginProcessingUrl("/authentication/form")
                .and()
                .authorizeRequests()//对请求进行授权
                .antMatchers("/tinner-signIn.html").permitAll()
                .anyRequest()//任何请求
                .authenticated()//都需要身份认证
              .and().csrf().disable();    
      }
}

可以看到我额外地添加了两行代码，一个是指定了登录的页面，另一个是对于"/tinner-signIn.html"这个页面，我们必须将它放行，不能让它去进行资源权限的校验，否则会发生“重定向次数过多”（死循环）。csrf().disable(); 是跨站请求伪造的安全机制。SpringSecurity默认地会有csrf跨站请求伪造防护的机制。因为是从一个html，进行post去提交给服务器的，涉及到跨站请求。

二、自定义登录改进

虽然可以用一个自定义的html页面来完成表单登录，但是现在出现了两个问题：

  • 在起始的时候发送的是一个rest服务的请求，但是在跳转控制上返回去的是一个html，这种方式是不合理的。rest服务应该返回的是状态码和Json的信息。我们需要做的是如果是html请求就跳到登录页上，如果不是就返回Json数据
  • 我写了一个标准的登录页面，但是我希望能提供一个可重用的安全模块（即有多个项目都会使用这个安全木块，但是这些项目不可能只用这一个简单样式的登录页面）。如何能让这些项目使用自己自定义的登录页面？如果不使用自己定义的登录页面，才会使用我自己写的这个简单样式的登录页面。

基于以上问题，我来对这个安全模块进行改进：

1、处理不同类型的请求

先来看看整体的流程图


处理不同类型的请求
<1>定义返回数据类型

在写这个Controller时，我们需要知道，对于html请求，我们不可能永远跳转到一个死的登录页面上去，我需要提供一个能力，去读取配置文件实现活的返回页面。
在这个方法上，我返回的是一个http的状态码。
这个方法应该返回的是一个自定义的类，里面去返回各种各样的属性，因此我来创建一个返回类SimpleResponse ，里面只有一个Object类型的变量

public class SimpleResponse {

    public SimpleResponse(Object content) {
        this.content = content;
    }

    private Object content;

    public Object getContent() {
        return content;
    }

    public void setContent(Object content) {
        this.content = content;
    }
}
<2>将页面配置写活

返回的数据类型定义完了，就需要去将配置的自定义页面去写活，在这里我们使用demo项目去引用Browser项目，在demo的配置文件中我定义了一个html

tinner.security.browser.loginPage=/login.html

我希望如果demo项目做了这个页面配置就跳转到demo配置的自定义页面，如果没有进行配置则跳转到browser项目定义的登录页面。
为了实现这个逻辑，我需要去将这些配置进行封装，将它们封装到一个类里面中去。


系统配置封装

这个图就是对整个项目配置文件的封装，我会去定义一个SecurityProperties类，然后这个类中又分为几个子类（根据配置项的不同去划分）。
代码我写在了Tinner-security-core项目中


代码结构

因为系统的配置无论是浏览器模块还是app模块中都会用到。
先去定义BrowserProperties类 
public class BrowserProperties {

    private String loginPage = "/tinner-signIn.html";

    private LoginType loginType = LoginType.JSON;

    public LoginType getLoginType() {
        return loginType;
    }

    public void setLoginType(LoginType loginType) {
        this.loginType = loginType;
    }

    public String getLoginPage() {
        return loginPage;
    }

    public void setLoginPage(String loginPage) {
        this.loginPage = loginPage;
    }
}

然后去定义SecurityProperties类

import org.springframework.boot.context.properties.ConfigurationProperties;

@ConfigurationProperties(prefix = "tinner.security")
public class SecurityProperties {

    private BrowserProperties browser = new BrowserProperties();

    public BrowserProperties getBrowser() {
        return browser;
    }

    public void setBrowser(BrowserProperties browser) {
        this.browser = browser;
    }
}

可以看到在SecurityProperties类中包含了BrowserProperties，BrowserProperties类中有一个属性loginPage，默认值是browser模块中的自定义标准登录页面，LoginType定义了登录的方式，是基于html还是json的，LoginType是一个枚举，其定义如下：

public enum LoginType {
    REDIRECT,
    JSON;
}
<3>写自定义的Controller
@RestController
public class BrowserSecurityController {


    private Logger LOGGER = LoggerFactory.getLogger(this.getClass());

    private RequestCache requestCache = new HttpSessionRequestCache();

    private RedirectStrategy redirectStrategy = new DefaultRedirectStrategy();

    @Autowired
    private SecurityProperties securityProperties;
    /**
     * 当需要身份认证时，跳转到这里
     * @param request
     * @param response
     * @return
     */
    @RequestMapping("/authentication/require")
    @ResponseStatus(code = HttpStatus.UNAUTHORIZED)
    public SimpleResponse requireAuthentication(HttpServletRequest request, HttpServletResponse response) throws IOException {
        //判断引发跳转的是html还是不是html
        SavedRequest savedRequest = requestCache.getRequest(request,response);
        if (savedRequest != null ){
            String target = savedRequest.getRedirectUrl();
            LOGGER.info("引发跳转的请求是："+target);
            if (StringUtils.endsWithIgnoreCase(target,"html")){
                redirectStrategy.sendRedirect(request,response,securityProperties.getBrowser().getLoginPage());
            }
        }
        return new SimpleResponse("访问的服务需要身份认证，请引导用户到登录页");
    }
}

然后在BrowserSecurityConfig去进行配置

@Configuration
public class BrowserSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SecurityProperties securityProperties;

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
//        super.configure(http);
        //实现的效果：让它去表单登录，而不是alert框
        http.formLogin()
                .loginPage("/authentication/require")
                .loginProcessingUrl("/authentication/form")
                .and()
                .authorizeRequests()//对请求进行授权
                .antMatchers("/authentication/require",securityProperties.getBrowser().getLoginPage()).permitAll()
                .anyRequest()//任何请求
                .authenticated()
        .and().csrf().disable();//都需要身份认证

    }
}

最后这个自定义的controller的逻辑就是跟我流程图里面的逻辑一样，如果请求是一个html请求，去根据配置文件去进行跳转（如果用户配了自定义登录页面就走其对应的页面，如果用户没配置，则走browser默认的标准登录页面去进行登录。）

三、自定义登录成功处理

在默认的处理中，登录成功之后会重定向到在地址栏中输入的url上面，但是往往不满足我们真实的开发场景：比如登录成功后进行签到处理、进行积分的累积等。
如果要实现登录成功处理其实非常简单，只需要实现一个接口（AuthenticationSuccessHandler）即可。
代码写在了browser项目中

@Component("tinnerAuthentivationSuccessHandler")
public class TinnerAuthentivationSuccessHandler implements AuthenticationSuccessHandler {
    private Logger LOGGER = LoggerFactory.getLogger(this.getClass());

    @Autowired
    private ObjectMapper objectMapper;

    @Autowired
    private SecurityProperties securityProperties;

    @Override
    public void onAuthenticationSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {
        LOGGER.info("登录成功");
        httpServletResponse.setContentType("application/json;charset=UTF-8");
        httpServletResponse.getWriter().write(objectMapper.writeValueAsString(authentication));
    }
}

实现了AuthenticationSuccessHandler接口后，只需要重写onAuthenticationSuccess方法即可，这个方法会在登录成功之后调用，里面除了HttpServletRequest 和HttpServletResponse 对象之外，还有一个Authentication 接口对象，这个接口的作用是封装认证信息，比如认证通过之后的session信息。我在用户登录成功之后将authentication对象中的信息返回给了前台。
然后在BrowserSecurityConfig去进行配置

/**
 * WebSecurityConfigurerAdapter是springSecurity提供的一个适配器类
 */
@Configuration
public class BrowserSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SecurityProperties securityProperties;

    @Autowired
    private AuthenticationSuccessHandler tinnerAuthentivationSuccessHandler;

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
//        super.configure(http);
        //实现的效果：让它去表单登录，而不是alert框
        http.formLogin()
                .loginPage("/authentication/require")
                .loginProcessingUrl("/authentication/form")
                .successHandler(tinnerAuthentivationSuccessHandler)
                .and()
                .authorizeRequests()//对请求进行授权
                .antMatchers("/authentication/require",securityProperties.getBrowser().getLoginPage()).permitAll()
                .anyRequest()//任何请求
                .authenticated()
        .and().csrf().disable();//都需要身份认证

    }
}

然后我们去访问系统的资源，会先跳转到登录页面，登录成功之后，我会看到一系列的用户相关信息


用户相关信息

解释:

第一个是authenticated为true，表示用户通过了身份认证
authorities中封装了用户的身份权限信息
credentials是用户输入的用户密码，但是默认的SpringSecurity对其进行了处理返回的是null
details包含了认证请求的一些信息：访问地址以及sessionId
name是用户写的用户名
principal是userdetails里面的内容

在未来如果用到QQ微信授权登录，其authentication信息是不一样的。

四、自定义登录失败处理

SpringSecurity默认的是返回错误信息，比如我们的业务场景需要“连续三次输入密码不允许登录、记录错误日志”等的逻辑。
失败处理也应该是返回一个json对象，只需要实现AuthenticationFailureHandler接口即可

@Component("tinnerAuthentivationFailureHandler")
public class TinnerAuthentivationFailureHandler implements AuthenticationFailureHandler {

    private Logger LOGGER = LoggerFactory.getLogger(this.getClass());

    @Autowired
    private ObjectMapper objectMapper;

    @Autowired
    private SecurityProperties securityProperties;

    @Override
    public void onAuthenticationFailure(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {
        LOGGER.info("登录失败");
     
            httpServletResponse.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value());
            httpServletResponse.setContentType("application/json;charset=UTF-8");
            httpServletResponse.getWriter().write(objectMapper.writeValueAsString(e));
    }
}

可以看到，在实现了这个接口之后实现了onAuthenticationFailure方法，其中的第三个参数不再是验证信息的那个对象，而是一个异常，这是因为登录失败的时候会抛出一系列异常（用户名未找到、密码错误等），这个时候登录信息是不完整的，我们就拿不到那个登录验证信息，取而代之的是一个认证过程中发生的错误所包含的异常。
同样，去config中进行配置

/**
 * WebSecurityConfigurerAdapter是springSecurity提供的一个适配器类
 */
@Configuration
public class BrowserSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SecurityProperties securityProperties;

    @Autowired
    private AuthenticationSuccessHandler tinnerAuthentivationSuccessHandler;

    @Autowired
    private AuthenticationFailureHandler tinnerAuthentivationFailureHandler;

    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
//        super.configure(http);
        //实现的效果：让它去表单登录，而不是alert框
        http.formLogin()
                .loginPage("/authentication/require")
                .loginProcessingUrl("/authentication/form")
                .successHandler(tinnerAuthentivationSuccessHandler)
                .failureHandler(tinnerAuthentivationFailureHandler)
//        http.httpBasic()
                .and()
                .authorizeRequests()//对请求进行授权
                .antMatchers("/authentication/require",securityProperties.getBrowser().getLoginPage()).permitAll()
                .anyRequest()//任何请求
                .authenticated()
        .and().csrf().disable();//都需要身份认证

    }
}

然后访问系统中的rest服务资源，输入错误的用户密码，然后会受到一个500的请求，里面包含了错误消息以及其堆栈信息。


失败信息

五、改进

如果我把登录和失败的处理方式写死，写成只返回json的方式也是不合适的，因为在某些项目中，我们可能会用到相关模板去进行架构（jsp、freemarker模板等）。它的登录不是异步进行登录的而是同步进行的。我们需要让用户可以进行自己的配置去进行动态地选择同步登录还是异步登录（跳转、返回JSON）。
在LoginType中我定义了两个枚举类型：JSON和redirect。通过判断这个枚举类型来动态地实现登录方式。
然后重新构造登录成功处理器和登录失败处理器：
登录成功处理器：

@Component("tinnerAuthentivationSuccessHandler")
//public class TinnerAuthentivationSuccessHandler implements AuthenticationSuccessHandler {
public class TinnerAuthentivationSuccessHandler extends SavedRequestAwareAuthenticationSuccessHandler {

    private Logger LOGGER = LoggerFactory.getLogger(this.getClass());

    @Autowired
    private ObjectMapper objectMapper;

    @Autowired
    private SecurityProperties securityProperties;

    @Override
    public void onAuthenticationSuccess(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Authentication authentication) throws IOException, ServletException {
        LOGGER.info("登录成功");
        if (LoginType.JSON.equals(securityProperties.getBrowser().getLoginType())){
            httpServletResponse.setContentType("application/json;charset=UTF-8");
            httpServletResponse.getWriter().write(objectMapper.writeValueAsString(authentication));
        }else{
            super.onAuthenticationSuccess(httpServletRequest,httpServletResponse,authentication);
        }

    }
}

我们现在没有去实现AuthenticationSuccessHandler 接口，而是去继承了SavedRequestAwareAuthenticationSuccessHandler 类，这个类是SpringSecurity提供的默认的登录成功处理器，然后重写父类的方法，去进行了if判断。
同样的在登录失败处理器中：

@Component("tinnerAuthentivationFailureHandler")
//public class TinnerAuthentivationFailureHandler implements AuthenticationFailureHandler {

public class TinnerAuthentivationFailureHandler extends SimpleUrlAuthenticationFailureHandler {

    private Logger LOGGER = LoggerFactory.getLogger(this.getClass());

    @Autowired
    private ObjectMapper objectMapper;

    @Autowired
    private SecurityProperties securityProperties;


    @Override
    public void onAuthenticationFailure(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {
        LOGGER.info("登录失败");
        if (LoginType.JSON.equals(securityProperties.getBrowser().getLoginType())){
            httpServletResponse.setStatus(HttpStatus.INTERNAL_SERVER_ERROR.value());
            httpServletResponse.setContentType("application/json;charset=UTF-8");
            httpServletResponse.getWriter().write(objectMapper.writeValueAsString(e));
        }else{
            super.onAuthenticationFailure(httpServletRequest,httpServletResponse,e);
        }

    }
}

然后如果我在demo项目中指定了登录类型为重定向

tinner.security.browser.loginType=REDIRECT

然后在src->main->resources目录下我定义了一个index.hmtl，然后在浏览器中访问这个html页面，会先重定向到登录页面，输入错误的用户名密码，则跳转到了spring默认的登录失败的页面中（报401错误），然后重新输入一次正确的用户名密码，则自动跳转到了index.hmtl页面中去。

©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 204,921评论 6赞 478
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 87,635评论 2赞 381
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 151,393评论 0赞 338
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 54,836评论 1赞 277
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 63,833评论 5赞 368
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 48,685评论 1赞 281
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 38,043评论 3赞 399
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 36,694评论 0赞 258
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 42,671评论 1赞 300
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 35,670评论 2赞 321
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 37,779评论 1赞 332
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 33,424评论 4赞 321
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 39,027评论 3赞 307
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 29,984评论 0赞 19
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 31,214评论 1赞 260
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 45,108评论 2赞 351
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 42,517评论 2赞 343

推荐阅读更多精彩内容