前言
在Spring MVC的项目中,可以采用Spring 拦截器做权限控制,具体使用方法可以参考另一篇博文《Spring拦截器》。使用Spring 拦截器做权限控制最繁琐的就是需要自己实现用户、角色、权限管理,换到另一个系统又需要重复做一次。庆幸的是Spring Security可以帮我们实现用户、角色、权限管理,让研发人员从这些重复工作中解放出来,简化开发流程。
Spring Security的用户、角色、权限管理可以是基于内存、文件、数据库、LDAP等,但我们常用的还是数据库,这里以mysql数据库为例进行讲解。
现在一般有两种常规方式实现Spring Bean配置:xml配置方式,java配置方式,另外还是Spring Boot简化配置方式,其实可以理解为java方式的升级版。这里以xml配置方式进行讲解,后面有时间再补充一个Spring boot版本的github地址。
Spring Security不仅可以在web层根据链接规则拦截请求做权限控制(类似于spring 拦截器),还可以在其他业务层、dao层等通过注解拦截方法调用做方法级别的权限控制(本质上也可以通过spring aop自己实现)。本次总结主要针对web层的不同链接规则进行不同的权限控制,讲解过程大致分为以下几个步骤:
1、Spring Security相关jar
2、Spring Security xml配置
3、Spring Security数据库认证配置
4、Spring Security相关数据库表创建
5、demo测试
Spring Security相关jar
本次demo搭建,采用的是Spring MVC+Freemaker+Spring Security。为了不占用过多篇幅,这里只列出Spring Security相关jar的Maven配置,其他jar的Maven配置详见文章末尾本次demo搭建的github地址。
<dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-web</artifactId> <version> 4.1.0.RELEASE </version> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-config</artifactId> <version>4.1.0.RELEASE </version> </dependency>
这里使用的Spring Security版本为4.1.0.RELEASE,到目前为止最新的版本为5.0.0,可以根据项目需要进行选择。
2、Spring Security xml配置
Spring Security xml配置,主要配置两个xml文件:web.xml和Spring Security相关bean xml配置文件。首先来看web.xml配置内容,这里只列出Spring Security相关配置,其他配置详见文章末尾github demo地址。
<!-- Spring Secutiry 过滤器链配置 --> <filter> <filter-name>springSecurityFilterChain</filter-name> <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class> </filter> <filter-mapping> <filter-name>springSecurityFilterChain</filter-name> <url-pattern>/*</url-pattern> </filter-mapping>
这里名称必须设置为springSecurityFilterChain,否则无法被识别。DelegatingFilterProxy是Spring Security拦截入口,该过滤器链包含多个Filter,每个Filter有各自不同的职责。有些属于固定Filter,每次请求都会执行,有些是可选Filter可以根据Spring Security的配置自由选择需要的Filter。Spring Security支持的Filiter列表以及顺序,可以在SecurityFilters.java中看到:
enum SecurityFilters { FIRST(-2147483648), CHANNEL_FILTER, SECURITY_CONTEXT_FILTER, CONCURRENT_SESSION_FILTER, WEB_ASYNC_MANAGER_FILTER, HEADERS_FILTER, CSRF_FILTER, LOGOUT_FILTER, X509_FILTER, PRE_AUTH_FILTER, CAS_FILTER, FORM_LOGIN_FILTER, OPENID_FILTER, LOGIN_PAGE_FILTER, DIGEST_AUTH_FILTER, BASIC_AUTH_FILTER, REQUEST_CACHE_FILTER, SERVLET_API_SUPPORT_FILTER, JAAS_API_SUPPORT_FILTER, REMEMBER_ME_FILTER, ANONYMOUS_FILTER, SESSION_MANAGEMENT_FILTER, EXCEPTION_TRANSLATION_FILTER, FILTER_SECURITY_INTERCEPTOR, SWITCH_USER_FILTER, LAST(2147483647);
每个常量对应一个Filter,对照关系表为(来自Spring Security官网http://projects.spring.io/spring-security/):
我们可以继承这些Filter实现自己的自定义需求,但首先需要知道这些filter的具体功能是什么,这里只对几个常用的filter进行讲解:
1、SecurityContextPersistenceFilter
用途一,在执行其他过滤器之前,率先判断用户的session中是否已经存在一个SecurityContext了。如果存在,就把SecurityContext拿出来,放到SecurityContextHolder中,供Spring Security的其他部分使用。如果不存在,就创建一个SecurityContext出来,还是放到SecurityContextHolder中,供Spring Security的其他部分使用。有点类似HandlerInterceptor接口的preHandle方法。
用途二,在所有过滤器执行完毕后,清空SecurityContextHolder,因为SecurityContextHolder是基于ThreadLocal的,如果在操作完成后清空ThreadLocal,会受到服务器的线程池机制的影响。有点类似HandlerInterceptor接口的afterCompletion方法。
2、LogoutFilter
只处理注销请求,结合Spring Security http配置进行更改:
<security:logout logout-success-url="/login?logout"/>
用途是在用户发送注销请求时,销毁用户session,清空SecurityContextHolder,
然后重定向到注销成功页面。可以与rememberMe之类的机制结合,在注销的同时清空用户cookie。
3、AbstractPreAuthenticatedProcessingFilter
处理form登陆的过滤器,与form登陆有关的所有操作都是在此进行的。这个请求应该是用户使用form登陆后的提交地址。
此过滤器执行的基本操作时,通过用户名和密码判断用户是否有效,如果登录成功就跳转到成功页面;(可能是登陆之前访问的受保护页面,也可能是默认的成功页面),如果登录失败,就跳转到失败页面。Spring Security http配置方式为:
<security:form-login login-page='/login' default-target-url="/welcome" authentication-failure-url="/login?error" username-parameter="username" password-parameter="password"/>
4、BasicAuthenticationFilter
此过滤器用于进行basic验证,功能与AuthenticationProcessingFilter类似,只是Basic验证方式相比较而言用的不是太多,默认会对密码进行base64加密。Spring Security http配置方式为:
<security:http auto-config="true"> <!-- <security:form-login login-page="/login.jsp"/>--> <security:http-basic/> <security:logout logout-success-url="/login.jsp" invalidate-session="true"/> <security:intercept-url pattern="/login.jsp*" filters="none"/> <security:intercept-url pattern="/admin.jsp*" access="ROLE_ADMIN"/> <security:intercept-url pattern="/index.jsp*" access="ROLE_USER,ROLE_ADMIN"/> <security:intercept-url pattern="/**" access="ROLE_USER,ROLE_ADMIN"/> </security:http>
注意:需要注释掉login-page,因为Basic验证会提供默认登陆页面。
5、SecurityContextHolderAwareRequestFilter
此过滤器用来包装客户的请求。通过查看其源码可以发现其doFilter方法中会创建一个包装类型SecurityContextHolderAwareRequestWrapper对ServletRequest对象进行包装,主要实现了servlet api的一些接口方法isUserInRole、getRemoteUser,为后续程序提供一些额外的数据。即可以从request对象中获取到用户信息。
6、RememberMeAuthenticationFilter
作用为:当用户没有登录而直接访问资源时, 从cookie里找出用户的信息, 如果Spring Security能够识别出用户提供的remember me cookie, 用户将不必填写用户名和密码, 而是直接登录进入系统. 它先分析SecurityContext里有没有Authentication对象. 如果有, 则不做任何操作, 直接跳到下一个过滤器. 如果没有, 则检查request里有没有包含remember-me的cookie信息. 如果有, 则解析出cookie里的验证信息, 判断是否有权限。Spring Security http配置方式为:
<http> ... <remember-me key="myAppKey"/> </http>
7、AnonymousAuthenticationFilter
用于支持Spring Security的匿名访问,适用于 一些公共资源希望所有人都可以看到。对于匿名访问的用户,Spring Security支持为其建立一个匿名的AnonymousAuthenticationToken存放在SecurityContextHolder中,这就是所谓的匿名认证。这样在以后进行权限认证或者做其它操作时我们就不需要再判断SecurityContextHolder中持有的Authentication对象是否为null了,而直接把它当做一个正常的Authentication进行使用就OK了。不现在登录页配置:
<intercept-url pattern="/login.jsp*" access="IS_AUTHENTICATED_ANONYMOUSLY"/> 等同于 <http pattern="/login.jsp" security="none">
自定义匿名配置方式:
<bean id="anonymousAuthFilter" class="org.springframework.security.web.authentication.AnonymousAuthenticationFilter"> <property name="key" value="foobar"/> <property name="userAttribute" value="anonymousUser,ROLE_ANONYMOUS"/> </bean> <bean id="anonymousAuthenticationProvider" class="org.springframework.security.authentication.AnonymousAuthenticationProvider"> <property name="key" value="foobar"/> </bean> security:intercept-url pattern='/common**' access='ROLE_ANONYMOUS'/>
通过上述配置,可以实现对没有权限的用户开发/common**下所有资源。
8、ExceptionTranslationFilter
此过滤器的作用是处理中FilterSecurityInterceptor抛出的异常,然后将请求重定向到对应页面,或返回对应的响应错误代码。
指定不同的异常跳转到不同的页面配置:
<bean id="exceptionTranslationFilter" class="org.springframework.security.web.access.ExceptionTranslationFilter"> <property name="authenticationEntryPoint" ref="authenticationEntryPoint"/> <property name="accessDeniedHandler" ref="accessDeniedHandler"/> </bean> <bean id="authenticationEntryPoint" class="org.springframework.security.web.authentication.LoginUrlAuthenticationEntryPoint"> <property name="loginFormUrl" value="/login.jsp"/> </bean> <bean id="accessDeniedHandler" class="org.springframework.security.web.access.AccessDeniedHandlerImpl"> <property name="errorPage" value="/accessDenied.htm"/> </bean>
9、FilterSecurityInterceptor
用户的权限控制都包含在这个过滤器中,主要逻辑在父类AbstractSecurityInterceptor中进行处理。
功能一:如果用户尚未登陆,则抛出AuthenticationCredentialsNotFoundException“尚未认证异常”。
功能二:如果用户已登录,但是没有访问当前资源的权限,则抛出AccessDeniedException“拒绝访问异常”。
功能三:如果用户已登录,也具有访问当前资源的权限,则放行。
Spring Security 过滤器链配置
上一节讲述了Spring Security支持的标准Filter列表,Spring Security 过滤器链配置:其实就是把这些Filiter加入到过滤器链中。本次demo中的配置内容:
<security:http auto-config="true"> <!--静态资源和登陆页面不做限制--> <security:intercept-url pattern="/css/**" access="permitAll" /> <security:intercept-url pattern="/login**" access="permitAll" /> <!--只能ADMIN角色访问--> <security:intercept-url pattern="/admin**" access="hasRole('ROLE_ADMIN')" /> <!--通过验证的用户都可以到达这个页面,注意isAuthenticated()带括号--> <security:intercept-url pattern="/welcome**" access="isAuthenticated()" /> <!--其他页面USER角色都可以访问--> <security:intercept-url pattern="/**" access="hasRole('ROLE_USER')" /> <security:form-login login-page='/login' default-target-url="/welcome" authentication-failure-url="/login?error" username-parameter="username" password-parameter="password"/> <!--没有权限错误页面--> <security:access-denied-handler error-page="/nopermit"/> <security:logout logout-success-url="/login?logout"/> <security:csrf /> </security:http>
其他配置很好理解,重点说下auto-config="true"配置,就相当于
<http> <form-login /> <http-basic /> <logout /> </http>
也就是使用了默认的过滤器,如果需要自定义Filter,可以继承上一节中的Filter 自己实现doFilter方法。
Spring Security数据库认证配置
Spring Security认证主要通过AuthenticationManager和AuthenticationProvider实现,AuthenticationProvider有多种实现,本次demo采用默认的数据库认证方式,配置如下:
<security:authentication-manager> <security:authentication-provider user-service-ref='myUserDetailsService'/> </security:authentication-manager>
这里的myUserDetailsService 采用的是默认的JdbcDaoImpl,配置如下:
<bean id="myUserDetailsService" class="org.springframework.security.core.userdetails.jdbc.JdbcDaoImpl"> <property name="dataSource" ref="dataSource"/> </bean>
JdbcDaoImpl依赖一个数据源“dataSource” bean,本demo采用的是mysql数据源,配置如下:
<bean id="dataSource" class="org.springframework.jdbc.datasource.DriverManagerDataSource"> <property name="driverClassName" value="com.mysql.jdbc.Driver"/> <property name="url" value="jdbc:mysql:loadbalance://192.168.148.95:3306/security_test?useUnicode=true&characterEncoding=UTF8"/> <property name="username" value="root"/> <property name="password" value="123456"/> </bean>
Spring Security相关数据库表创建
通过阅读JdbcDaoImpl源码可以发现,Spring Security默认情况下需要在数据库中创建用户表和权限表:
private String authoritiesByUsernameQuery = "select username,authority from authorities where username = ?"; private String usersByUsernameQuery = "select username,password,enabled from users where username = ?";
默认用户表为users,more权限表为:authorities。本次demo的建表语句为:
-- ---------------------------- -- Table structure for `authorities` -- ---------------------------- DROP TABLE IF EXISTS `authorities`; CREATE TABLE `authorities` ( `username` varchar(50) COLLATE utf8_bin NOT NULL, `authority` varchar(50) COLLATE utf8_bin NOT NULL, UNIQUE KEY `ix_auth_username` (`username`,`authority`), CONSTRAINT `fk_authorities_users` FOREIGN KEY (`username`) REFERENCES `users` (`username`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_bin; -- ---------------------------- -- Records of authorities -- ---------------------------- INSERT INTO `authorities` VALUES ('mysql1', 'ROLE_ADD'); INSERT INTO `authorities` VALUES ('mysql1', 'ROLE_ADMIN'); INSERT INTO `authorities` VALUES ('mysql1', 'ROLE_SELECT'); INSERT INTO `authorities` VALUES ('mysql1', 'ROLE_USER'); INSERT INTO `authorities` VALUES ('mysql2', 'ROLE_SELECT'); INSERT INTO `authorities` VALUES ('mysql2', 'ROLE_USER'); -- ---------------------------- -- Table structure for `users` -- ---------------------------- DROP TABLE IF EXISTS `users`; CREATE TABLE `users` ( `username` varchar(50) COLLATE utf8_bin NOT NULL, `password` varchar(50) COLLATE utf8_bin NOT NULL, `enabled` tinyint(1) NOT NULL, PRIMARY KEY (`username`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8 COLLATE=utf8_bin;
从表结构设计不难看出,一个用户可以对应多个角色权限,在为每个新用户分配权限时需要选择多个角色权限,难免有些重复工作。这个问题可以通过开启分组功能解决,如果开启分组功能,同时需要创建分组相关的三张表。一个用户可以对应多个分组,一个分组可以对应多个角色权限。关于分组权限控制这里不再详细讲述。
这里采用的完全是Spring Security默认处理方式,根据自己的实际业务需要可以继承JdbcDaoImpl,重写相关sql语句从自己的用户表、角色权限表获取用户信息。
demo测试
通过上配置即可完成本次demo对Spring Security的引入,最终demo的代码已上传至github:https://github.com/gantianxing/spring-security。下载代码后,采用jdk1.8+tomcat8环境部署,启动程序。访问http://localhost/,默认会跳转到登陆页面:
可以使用msyql1、mysql2、mysql3(密码都是123456)三个账号登陆,进行权限测试。也可以自己在上述users表、authorities表中创建其他账号权限进行测试。
转载请注明出处: