詳解spring security 配置多個(gè)AuthenticationProvider
前言
發(fā)現(xiàn)很少關(guān)于spring security的文章，基本都是入門(mén)級(jí)的，配個(gè)UserServiceDetails或者配個(gè)路由控制就完事了，而且很多還是xml配置，國(guó)內(nèi)通病...so，本文里的配置都是java配置，不涉及xml配置，事實(shí)上我也不會(huì)xml配置
spring security的大體介紹
spring security本身如果只是說(shuō)配置，還是很簡(jiǎn)單易懂的（我也不知道網(wǎng)上說(shuō)spring security難，難在哪里），簡(jiǎn)單不需要特別的功能，一個(gè)WebSecurityConfigurerAdapter的實(shí)現(xiàn)，然后實(shí)現(xiàn)UserServiceDetails就是簡(jiǎn)單的數(shù)據(jù)庫(kù)驗(yàn)證了，這個(gè)我就不說(shuō)了。
spring security大體上是由一堆Filter（所以才能在spring mvc前攔截請(qǐng)求）實(shí)現(xiàn)的，F(xiàn)ilter有幾個(gè)，登出Filter（LogoutFilter），用戶(hù)名密碼驗(yàn)證Filter（UsernamePasswordAuthenticationFilter）之類(lèi)的，F(xiàn)ilter再交由其他組件完成細(xì)分的功能，例如最常用的UsernamePasswordAuthenticationFilter會(huì)持有一個(gè)AuthenticationManager引用，AuthenticationManager顧名思義，驗(yàn)證管理器，負(fù)責(zé)驗(yàn)證的，但AuthenticationManager本身并不做具體的驗(yàn)證工作，AuthenticationManager持有一個(gè)AuthenticationProvider集合，AuthenticationProvider才是做驗(yàn)證工作的組件，AuthenticationManager和AuthenticationProvider的工作機(jī)制可以大概看一下這兩個(gè)的java doc，然后成功失敗都有相對(duì)應(yīng)該Handler 。大體的spring security的驗(yàn)證工作流程就是這樣了。
開(kāi)始配置多AuthenticationProvider
首先，寫(xiě)一個(gè)內(nèi)存認(rèn)證的AuthenticationProvider，這里我簡(jiǎn)單地寫(xiě)一個(gè)只有root帳號(hào)的AuthenticationProvider
package com.scau.equipment.config.common.security.provider;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.User;
import org.springframework.stereotype.Component;
import java.util.Arrays;
import java.util.List;
/**
* Created by Administrator on 2017-05-10.
*/
@Component
public class InMemoryAuthenticationProvider implements AuthenticationProvider {
private final String adminName = "root";
private final String adminPassword = "root";
//根用戶(hù)擁有全部的權(quán)限
private final List<GrantedAuthority> authorities = Arrays.asList(new SimpleGrantedAuthority("CAN_SEARCH"),
new SimpleGrantedAuthority("CAN_SEARCH"),
new SimpleGrantedAuthority("CAN_EXPORT"),
new SimpleGrantedAuthority("CAN_IMPORT"),
new SimpleGrantedAuthority("CAN_BORROW"),
new SimpleGrantedAuthority("CAN_RETURN"),
new SimpleGrantedAuthority("CAN_REPAIR"),
new SimpleGrantedAuthority("CAN_DISCARD"),
new SimpleGrantedAuthority("CAN_EMPOWERMENT"),
new SimpleGrantedAuthority("CAN_BREED"));
@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
if(isMatch(authentication)){
User user = new User(authentication.getName(),authentication.getCredentials().toString(),authorities);
return new UsernamePasswordAuthenticationToken(user,authentication.getCredentials(),authorities);
}
return null;
}
@Override
public boolean supports(Class<?> authentication) {
return true;
}
private boolean isMatch(Authentication authentication){
if(authentication.getName().equals(adminName)&&authentication.getCredentials().equals(adminPassword))
return true;
else
return false;
}
}
support方法檢查authentication的類(lèi)型是不是這個(gè)AuthenticationProvider支持的，這里我簡(jiǎn)單地返回true，就是所有都支持，這里所說(shuō)的authentication為什么會(huì)有多個(gè)類(lèi)型，是因?yàn)槎鄠€(gè)AuthenticationProvider可以返回不同的Authentication。
public Authentication authenticate(Authentication authentication) throws AuthenticationException 方法就是驗(yàn)證過(guò)程。
如果AuthenticationProvider返回了null，AuthenticationManager會(huì)交給下一個(gè)支持authentication類(lèi)型的AuthenticationProvider處理。
另外需要一個(gè)數(shù)據(jù)庫(kù)認(rèn)證的AuthenticationProvider，我們可以直接用spring security提供的DaoAuthenticationProvider，設(shè)置一下UserServiceDetails和PasswordEncoder就可以了
@Bean
DaoAuthenticationProvider daoAuthenticationProvider(){
DaoAuthenticationProvider daoAuthenticationProvider = new DaoAuthenticationProvider();
daoAuthenticationProvider.setPasswordEncoder(new BCryptPasswordEncoder());
daoAuthenticationProvider.setUserDetailsService(userServiceDetails);
return daoAuthenticationProvider;
}
最后在WebSecurityConfigurerAdapter里配置一個(gè)含有以上兩個(gè)AuthenticationProvider的AuthenticationManager，依然重用spring security提供的ProviderManager
package com.scau.equipment.config.common.security;
import com.scau.equipment.config.common.security.handler.AjaxLoginFailureHandler;
import com.scau.equipment.config.common.security.handler.AjaxLoginSuccessHandler;
import com.scau.equipment.config.common.security.provider.InMemoryAuthenticationProvider;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.ProviderManager;
import org.springframework.security.authentication.dao.DaoAuthenticationProvider;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.authentication.configurers.provisioning.InMemoryUserDetailsManagerConfigurer;
import org.springframework.security.config.annotation.authentication.configurers.provisioning.UserDetailsManagerConfigurer;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.builders.WebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import java.util.Arrays;
import java.util.List;
/**
* Created by Administrator on 2017/2/17.
*/
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
UserDetailsService userServiceDetails;
@Autowired
InMemoryAuthenticationProvider inMemoryAuthenticationProvider;
@Bean
DaoAuthenticationProvider daoAuthenticationProvider(){
DaoAuthenticationProvider daoAuthenticationProvider = new DaoAuthenticationProvider();
daoAuthenticationProvider.setPasswordEncoder(new BCryptPasswordEncoder());
daoAuthenticationProvider.setUserDetailsService(userServiceDetails);
return daoAuthenticationProvider;
}
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.csrf().disable()
.rememberMe().alwaysRemember(true).tokenValiditySeconds(86400).and()
.authorizeRequests()
.antMatchers("/","/*swagger*/**", "/v2/api-docs").permitAll()
.anyRequest().authenticated().and()
.formLogin()
.loginPage("/")
.loginProcessingUrl("/login")
.successHandler(new AjaxLoginSuccessHandler())
.failureHandler(new AjaxLoginFailureHandler()).and()
.logout().logoutUrl("/logout").logoutSuccessUrl("/");
}
@Override
public void configure(WebSecurity web) throws Exception {
web.ignoring().antMatchers("/public/**", "/webjars/**", "/v2/**", "/swagger**");
}
@Override
protected AuthenticationManager authenticationManager() throws Exception {
ProviderManager authenticationManager = new ProviderManager(Arrays.asList(inMemoryAuthenticationProvider,daoAuthenticationProvider()));
//不擦除認(rèn)證密碼，擦除會(huì)導(dǎo)致TokenBasedRememberMeServices因?yàn)檎也坏紺redentials再調(diào)用UserDetailsService而拋出UsernameNotFoundException
authenticationManager.setEraseCredentialsAfterAuthentication(false);
return authenticationManager;
}
/**
* 這里需要提供UserDetailsService的原因是RememberMeServices需要用到
* @return
*/
@Override
protected UserDetailsService userDetailsService() {
return userServiceDetails;
}
}
基本上都是重用了原有的類(lèi)，很多都是默認(rèn)使用的，只不過(guò)為了修改下行為而重新配置。其實(shí)如果偷懶，直接用一個(gè)UserDetailsService，在里面做各種認(rèn)證也是可以的~不過(guò)這樣就沒(méi)意思了
以上就是本文的全部?jī)?nèi)容，希望對(duì)大家的學(xué)習(xí)有所幫助，也希望大家多多支持腳本之家。
相關(guān)文章
Java StringBuilder類(lèi)相關(guān)知識(shí)總結(jié)
這篇文章主要介紹了Java StringBuilder類(lèi)相關(guān)知識(shí)總結(jié),文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2020-02-02
JAVA面試題之緩存擊穿、緩存穿透、緩存雪崩的三者區(qū)別
當(dāng)服務(wù)器QPS比較高，并且對(duì)數(shù)據(jù)的實(shí)時(shí)性要求不高時(shí)，往往會(huì)接入緩存以達(dá)到快速Response、降低數(shù)據(jù)庫(kù)壓力的作用，常用來(lái)做緩存的中間件如Redis等。本文主要介紹了JAVA面試時(shí)?？嫉木彺鎿舸?、穿透、雪崩場(chǎng)景三者區(qū)別，有興趣的小伙伴可以看一下2021-11-11
深入理解Java8新特性之接口中的默認(rèn)方法和靜態(tài)方法
從Java8開(kāi)始，程序允許在接口中包含帶有具體實(shí)現(xiàn)的方法，使用default修飾，這類(lèi)方法就是默認(rèn)方法。默認(rèn)方法在接口中可以添加多個(gè)，并且Java8提供了很多對(duì)應(yīng)的接口默認(rèn)方法，接下來(lái)讓我們一起來(lái)看看吧2021-11-11
java 根據(jù)前端返回的字段名進(jìn)行查詢(xún)數(shù)據(jù)
本文介紹了如何在Java中使用SpringDataJPA實(shí)現(xiàn)動(dòng)態(tài)查詢(xún)功能,以便根據(jù)前端傳遞的字段名動(dòng)態(tài)構(gòu)建查詢(xún)語(yǔ)句,通過(guò)創(chuàng)建實(shí)體類(lèi)、Repository接口、構(gòu)建動(dòng)態(tài)查詢(xún)、在Service層和Controller中使用動(dòng)態(tài)查詢(xún),實(shí)現(xiàn)了前后端分離架構(gòu)中的靈活查詢(xún)需求2024-11-11
這篇文章介紹了工廠方法在Spring框架中的運(yùn)用，文中通過(guò)示例代碼介紹的非常詳細(xì)。對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2022-10-10
這篇文章主要給大家介紹了關(guān)于MyBatis中$和#的相關(guān)資料，文中通過(guò)圖文介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-10-10
java中多線(xiàn)程與線(xiàn)程池的基本使用方法
在Java中,我們可以利用多線(xiàn)程來(lái)最大化地壓榨CPU多核計(jì)算的能力,下面這篇文章主要給大家介紹了關(guān)于java中多線(xiàn)程與線(xiàn)程池基本使用的相關(guān)資料,需要的朋友可以參考下2021-09-09
使用maven的profile構(gòu)建不同環(huán)境配置的方法
這篇文章主要介紹了使用maven的profile構(gòu)建不同環(huán)境配置的方法,文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2021-01-01
Java學(xué)習(xí)之如何進(jìn)行JSON解析
JSON(JavaScript?Object?Notation)是一種輕量級(jí)的數(shù)據(jù)交換格式，它算是JavaScript語(yǔ)言的一部分，與XML一樣都可以用于數(shù)據(jù)的存儲(chǔ)和傳輸，本文講給大家介紹如何進(jìn)行JSON解析,需要的朋友可以參考下2023-12-12
Java?ObjectMapper的使用和使用過(guò)程中遇到的問(wèn)題
在Java開(kāi)發(fā)中,ObjectMapper是Jackson庫(kù)的核心類(lèi),用于將Java對(duì)象序列化為JSON字符串,或者將JSON字符串反序列化為Java對(duì)象,這篇文章主要介紹了Java?ObjectMapper的使用和使用過(guò)程中遇到的問(wèn)題,需要的朋友可以參考下2024-07-07