springboot整合security和vue的實踐
環(huán)境
springboot1.5.9
完整代碼，內有sql，先建庫，在運行sql建表，sql中已插入測試的數據。
https://github.com/2010yhh/springBoot-demos/tree/master/springboot-security
訪問首頁：http://localhost:8080
1.security參考資料
Spring Security參考文檔：https://docs.spring.io/spring-security/site/docs/4.1.0.RELEASE/reference/htmlsingle/#what-is-acegi-security
spring-security源碼：https://github.com/spring-projects/spring-security/
主要功能：認證和授權
Configurer Filter 功能說明
CorsConfigurer CorsFilter 提供跨域訪問配置支持的Filter
SessionManagementConfigurer SessionManagementFilter 會話管理Filter
RememberMeConfigurer RememberMeAuthenticationFilter 記住用戶名及密碼功能支持
ExpressionUrlAuthorizationConfigurer
CsrfConfigurer CsrfFilter 跨站請求偽造保護Filter；
LogoutConfigurer LogoutFilter 退出登錄請求處理Filter
FormLoginConfigurer UsernamePasswordAuthenticationFilter 表單登錄請求處理Filter
OAuth2LoginConfigurer OAuth2AuthorizationRequestRedirectFilter OAuth2請求權限控制處理Filter，為其它網站提供本網站Oauth2方式登錄，即其它網站通過本網站的賬戶密碼進行登錄授權
HttpBasicConfigurer BasicAuthenticationFilter Security基礎登錄授權Filter，將其結果保存在SecurityContextHolder中
認證流程原理：
參考：https://www.processon.com/view/link/5ac1e565e4b00dc8a026ab46
2.springboot整合security要點
主要是class WebSecurityConfig extends WebSecurityConfigurerAdapter
SecurityConfig配置信息，參考代碼中的WebSecurityConfig類
2.1獲取登錄用戶信息
UserDetails userDetails = (UserDetails) SecurityContextHolder.getContext()
.getAuthentication()
.getPrincipal();
2.2自定義登入登出url
1）SecurityConfig配置中配置：
.and()
.formLogin()
//指定url，可由相應的controller處理跳轉到登錄頁如login_page.html
.loginPage("/mylogin")//自定義登錄url
//指定自定義form表單請求的路徑
.loginProcessingUrl("/myloginForm").usernameParameter("userName").passwordParameter("passWord")
//.defaultSuccessUrl("/success")
.successForwardUrl("/success")//設置了登入登出的Handler,優(yōu)先響應Handler
.failureUrl("/fail")//設置了登入登出的Handler,優(yōu)先響應Handler
.and()
.logout()
.logoutUrl("/mylogout")//自定義退出url
.logoutSuccessUrl("/mylogin")
.logoutSuccessHandler(myLogoutSuccessHandle)//設置了登入登出的Handler,優(yōu)先響應Handler
.invalidateHttpSession(true)
.permitAll()
2）前端請求中改寫請求的url
如vue請求：
export const login = data => {
return http.post(`/myloginForm?userName=${data.userName}&passWord=${data.passWord}&rememberMe=${data.rememberMe}&imageCode=${data.imageCode}`)
}
export const logout = data => {
return http.post(`/mylogout`)
}
如一般html表單請求：
<!--要與.loginProcessingUrl("/myloginForm")相對應-->
<form name="f" action="/myloginForm" method="post">
<br/>
用戶名:
<input type="text" name="userName" placeholder="name"><br/>
密碼:
<input type="password" name="passWord" placeholder="password"><br/>
<input type="text" name="imageCode">
<img src="/createImageCode"><br/>
<input type="checkbox" name="rememberMe"/>下次自動登錄<br/>
<input name="submit" type="submit" value="提交">
</form>
<form action="/mylogout" method="post">
<input type="submit" class="btn btn-primary" value="注銷"/><!-- 5 -->
</form>
2.3自定義Handler返回json
1）重寫AuthenticationSuccessHandler、AuthenticationFailureHandler、LogoutSuccessHandler、AccessDeniedHandler、AuthenticationEntryPoint 這5個類，分別是登錄成功、登錄失敗、退出成功、權限不足、尚未登錄，在這幾個重寫類中自定義返回json格式
2）SecurityConfig配置中配置；
//自定義認證成功或者失敗的返回json
.successHandler(myAuthenticationSuccessHandler)
.failureHandler(myAuthenticationFailureHandler)
.logoutSuccessHandler(myLogoutSuccessHandle)//設置了登入登出的Handler,優(yōu)先響應Handler
http.exceptionHandling().authenticationEntryPoint(myAuthenticationEntryPoint);//未登錄
http.exceptionHandling().accessDeniedHandler(myAccessDeniedHandler); // 無權訪問
2.4記住我功能
關掉瀏覽器，重新打開登錄url，無需登錄直接跳轉到首頁或其他頁面
1）SecurityConfig配置中配置
.and()
.rememberMe()// 記住我
.rememberMeParameter("rememberMe")
.tokenRepository(persistentTokenRepository())
.userDetailsService(myUserDetailsService).tokenValiditySeconds(60 * 60 * 24);
2）SecurityConfig配置中配置寫token入數據庫的bean
/**
* springSecurity會根據情況自動將token插入persistent_logins
*
* @return
*/
@Bean
public PersistentTokenRepository persistentTokenRepository() {
JdbcTokenRepositoryImpl tokenRepository = new JdbcTokenRepositoryImpl();
tokenRepository.setDataSource(dataSource);
return tokenRepository;
}
2.5驗證碼功能
1）自定義驗證碼過濾器，在其中驗證輸入的驗證碼和保存在session中的驗證碼是否一致
2）SecurityConfig配置中配置
//將我們自定義的驗證碼過濾器，配置 //UsernamePasswordAuthenticationFilter之前http.addFilterBefore(validateCodeFilter, UsernamePasswordAuthenticationFilter.class)
2.6限制登錄次數
1）自定義登錄成功、登錄失敗的事件監(jiān)聽器
public class AuthenticationSuccessEventListener implements ApplicationListener<AuthenticationSuccessEvent>
{}
public class AuthenticationFailureListener implements ApplicationListener<AuthenticationFailureBadCredentialsEvent> {}
2）可以利用數據庫或者redis或者換成來存儲登錄失敗次數進行判斷鎖定賬號
3）實際項目管理員角色應該有解鎖賬號的功能
2.7密碼加密
1）新建用戶時，存儲密碼為加密后的，本文使用BCryptPasswordEncoder
2）執(zhí)行登錄的過程中：security內部會對輸入的密碼加密和查詢得到的用戶的密碼進行校驗
2.8后臺提供接口，返回前端json,整合vue做前端登入登出
這也是前后端分離的模式。
前端可以先獲取當前登錄用戶的所有角色及所有權限（權限可以細化到菜單、按鈕和接口）:進而決定前端顯示效果
注意前端請求的url寫法:
export const login = data => {
return http.post(`/myloginForm?userName=${data.userName}&passWord=${data.passWord}&rememberMe=${data.rememberMe}&imageCode=${data.imageCode}`)
}
export const logout = data => {
return http.post(`/mylogout`)
}
3.測試
三個用戶：admin manager user2進行測試，本代碼中權限沒有用，只用到了角色這一級別。測試記住我功能時，要清除cookie，免得影響測試。
| 用戶 | 角色 | 權限 |
|---|---|---|
| admin | admin manager user | add delete query queryall update |
| manager | manager user | query queryall |
| user2 | user | query |
對http://localhost:8080/user/list http://localhost:8080/user/list2 http://localhost:8080/user/list3（無需登錄都可以訪問） 三個url設置不同的角色
.antMatchers( "/user/list").hasAuthority("admin")
.antMatchers( "/user/list2").hasRole("manager")
輸入：http://localhost:8080 重定向到登錄頁：http://localhost:8080/#/login
2）輸入admin manager user2 的正確用戶名和密碼后，登錄成功返回的頁面顯示不同效果；三個用戶登錄成功后，直接訪問url，會根據用戶的角色不同進行攔截，點擊退出后，重新回到http://localhost:8080/#/login
user2：
直接訪問url:http://localhost:8080/user/list
manager:
直接訪問url:http://localhost:8080/user/list
admin：
直接訪問url:http://localhost:8080/user/list
直接訪問注銷url：
4）測試記住我
用admin用戶測試
這里關閉瀏覽器或者重啟進程后，直接訪問需要角色的資源如：http://localhost:8080/#/home或者http://localhost:8080/user/list
可以直接訪問無需登錄。
但是訪問首頁http://localhost:8080 或者http://localhost:8080/#/login卻不能跳轉到http://localhost:8080/#/home
5）測試驗證碼
驗證碼過期或者輸錯或者刷新頁面，會重新生成驗證碼。
6）測試限制登錄次數
在輸入正確驗證碼的情況下，輸錯驗證碼會直接拋出驗證碼的異常，連續(xù)輸錯3次（可以設置）用戶名或者密碼，賬號會鎖定，拋出賬號鎖定異常。
到此這篇關于springboot整合security和vue的實踐的文章就介紹到這了,更多相關springboot整合security和vue內容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！
- Springboot安全框架整合SpringSecurity實現方式
- springboot整合springsecurity與mybatis-plus的簡單實現
- SpringBoot如何整合Springsecurity實現數據庫登錄及權限控制
- SpringBoot整合SpringSecurityOauth2實現鑒權動態(tài)權限問題
- Springboot詳解整合SpringSecurity實現全過程
- SpringBoot整合SpringSecurity實現JWT認證的項目實踐
- SpringBoot整合Security權限控制登錄首頁
- SpringBoot整合Spring?Security過濾器鏈加載執(zhí)行流程源碼分析(最新推薦)
- SpringBoot整合SpringSecurity和JWT和Redis實現統(tǒng)一鑒權認證
- SpringBoot整合SpringSecurity認證與授權
- SpringBoot整合Spring Security構建安全的Web應用
相關文章
這篇文章主要介紹了Java如何通過反射取實體類字段取值問題,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-07-07
Spring?Boot中獲取request的三種方式及請求過程
這篇文章主要介紹了Spring?Boot當中獲取request的三種方式,包括請求過程流程分析及response常用API，本文通過實例代碼給大家介紹的非常詳細，需要的朋友可以參考下2022-03-03
這篇文章主要為大家詳細介紹了如何利用java語言實現身份證號碼驗證的功能,文中的示例代碼講解詳細,感興趣的小伙伴可以跟隨小編一起學習一下2023-09-09
Eclipse開發(fā)JavaWeb項目配置Tomcat的方法步驟
本文主要介紹了Eclipse開發(fā)JavaWeb項目配置Tomcat的方法步驟，首先介紹eclipse開發(fā)JavaWeb項目需要配置的相關環(huán)境，使用tomcat軟件在本地搭建服務器，然后再在eclipse環(huán)境下配置tomcat，感興趣的可以了解一下2021-08-08
這篇文章主要介紹了解決jpa查詢語句自動變成了update的問題，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教2021-08-08
這篇文章主要介紹了Java之SM4加密解密的實現方式，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教2023-06-06
這篇文章主要介紹了@Autowired注入為null問題原因分析嗎，小編覺得挺不錯的，對日后比較有幫助，具有一定的參考價值，感興趣的小伙伴們可以參考一下2018-11-11
這篇文章主要為大家詳細介紹了Java中的抽象類和接口，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下，希望能夠給你帶來幫助2022-02-02
JAVA使用hutool工具實現查詢樹結構數據(省市區(qū))
今天通過本文給大家分享JAVA使用hutool工具實現查詢樹結構數據(省市區(qū))，代碼分為表結構和數據結構，代碼簡單易懂，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友參考下吧2021-08-08
這篇文章主要給大家介紹了關于Java輸出多位小數的三種方法的相關資料,在實際工作中常常需要設定數字的輸出格式,如以百分比的形式輸出,或者設定小數位數等,需要的朋友可以參考下2023-07-07