|
对于最新的稳定版本，请使用 Spring Security 6.5.3！ |
Java 配置
Hello Web Security Java 配置
第一步是创建我们的 Spring Security Java 配置。
该配置创建了一个称为springSecurityFilterChain它负责应用程序中的所有安全性（保护应用程序 URL、验证提交的用户名和密码、重定向到登录表单等）。
您可以在下面找到 Spring Security Java 配置的最基本示例：
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.*;
import org.springframework.security.config.annotation.authentication.builders.*;
import org.springframework.security.config.annotation.web.configuration.*;
@EnableWebSecurity
public class WebSecurityConfig {
@Bean
public UserDetailsService userDetailsService() {
InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
manager.createUser(User.withDefaultPasswordEncoder().username("user").password("password").roles("USER").build());
return manager;
}
}这种配置确实没有太多功能，但它的作用很大。 您可以在下面找到功能摘要：
-
要求对应用程序中的每个 URL 进行身份验证
-
为您生成登录表单
-
允许具有用户名用户和密码的用户使用基于表单的身份验证进行身份验证
-
允许用户注销
-
CSRF 攻击防护
-
会话固定保护
-
安全标头集成
-
用于安全请求的 HTTP 严格传输安全性
-
缓存控制（稍后可以由应用程序覆盖，以允许缓存静态资源）
-
X-Frame-Options 集成有助于防止点击劫持
-
-
与以下 Servlet API 方法集成
抽象SecurityWebApplication初始化器
下一步是注册springSecurityFilterChain随着战争。
这可以在 Servlet 3.0+ 环境中使用 Spring 的 WebApplicationInitializer 支持在 Java 配置中完成。
毫不奇怪，Spring Security 提供了一个基类AbstractSecurityWebApplicationInitializer这将确保springSecurityFilterChain为您注册。
我们使用AbstractSecurityWebApplicationInitializer取决于我们是否已经在使用 Spring，或者 Spring Security 是否是我们应用程序中唯一的 Spring 组件。
-
AbstractSecurityWebApplicationInitializer 没有现有 Spring - 如果您还没有使用 Spring，请使用这些说明
-
AbstractSecurityWebApplicationInitializer with Spring MVC - 如果您已经在使用 Spring，请使用这些说明
AbstractSecurityWebApplicationInitializer 没有现有 Spring
如果您不使用 Spring 或 Spring MVC，则需要传入WebSecurityConfig到超类中，以确保选择配置。
您可以在下面找到一个示例：
import org.springframework.security.web.context.*;
public class SecurityWebApplicationInitializer
extends AbstractSecurityWebApplicationInitializer {
public SecurityWebApplicationInitializer() {
super(WebSecurityConfig.class);
}
}这SecurityWebApplicationInitializer将执行以下作：
-
为应用程序中的每个URL自动注册springSecurityFilterChain过滤器
-
添加一个加载 WebSecurityConfig 的 ContextLoaderListener。
AbstractSecurityWebApplicationInitializer 与 Spring MVC
如果我们在应用程序的其他地方使用 Spring，我们可能已经有一个WebApplicationInitializer即加载我们的 Spring 配置。如果我们使用前面的配置，我们会得到一个错误。相反，我们应该将 Spring Security 注册到现有的ApplicationContext. 例如，如果我们使用 Spring MVC，则SecurityWebApplicationInitializer将如下所示：
import org.springframework.security.web.context.*;
public class SecurityWebApplicationInitializer
extends AbstractSecurityWebApplicationInitializer {
}这只会为应用程序中的每个URL注册springSecurityFilterChain过滤器。
之后，我们将确保WebSecurityConfig加载到我们现有的 ApplicationInitializer 中。
例如，如果我们使用的是 Spring MVC，它将添加到getServletConfigClasses()
public class MvcWebApplicationInitializer extends
AbstractAnnotationConfigDispatcherServletInitializer {
@Override
protected Class<?>[] getServletConfigClasses() {
return new Class[] { WebSecurityConfig.class, WebMvcConfig.class };
}
// ... other overrides ...
}这样做的原因是 Spring Security 需要能够检查一些 Spring MVC 配置，以便适当地配置底层请求匹配器，因此它们需要位于相同的应用程序上下文中。
将 Spring Security 置于getRootConfigClasses将其放入可能无法找到 Spring MVC 的HandlerMappingIntrospector.
为多个 Spring MVC 调度程序配置
如果需要，可以将任何与 Spring MVC 无关的 Spring Security 配置放置在不同的配置类中，如下所示：
public class MvcWebApplicationInitializer extends
AbstractAnnotationConfigDispatcherServletInitializer {
@Override
protected Class<?>[] getRootConfigClasses() {
return new Class[] { NonWebSecurityConfig.class };
}
@Override
protected Class<?>[] getServletConfigClasses() {
return new Class[] { WebSecurityConfig.class, WebMvcConfig.class };
}
// ... other overrides ...
}如果您有多个AbstractAnnotationConfigDispatcherServletInitializer并且不想在它们之间重复常规安全配置。
Http安全
到目前为止，我们的 WebSecurityConfig 仅包含有关如何对用户进行身份验证的信息。
Spring Security 如何知道我们要要求所有用户都经过身份验证？
Spring Security 如何知道我们想要支持基于表单的身份验证？
实际上，有一个 bean 在幕后被调用，称为SecurityFilterChain.
它配置了以下默认实现：
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeRequests(authorize -> authorize
.anyRequest().authenticated()
)
.formLogin(withDefaults())
.httpBasic(withDefaults());
return http.build();
}上述默认配置：
-
确保对我们应用程序的任何请求都需要对用户进行身份验证
-
允许用户使用基于表单的登录进行身份验证
-
允许用户使用 HTTP 基本身份验证进行身份验证
您会注意到此配置与 XML 命名空间配置非常相似：
<http>
<intercept-url pattern="/**" access="authenticated"/>
<form-login />
<http-basic />
</http>多个 HttpSecurity
我们可以配置多个HttpSecurity实例，就像我们可以有多个<http>块。
关键是要注册多个SecurityFilterChain @Beans.
例如，下面是一个示例，说明对以/api/.
@EnableWebSecurity
public class MultiHttpSecurityConfig {
@Bean (1)
public UserDetailsService userDetailsService() throws Exception {
// ensure the passwords are encoded properly
UserBuilder users = User.withDefaultPasswordEncoder();
InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
manager.createUser(users.username("user").password("password").roles("USER").build());
manager.createUser(users.username("admin").password("password").roles("USER","ADMIN").build());
return manager;
}
@Bean
@Order(1) (2)
public SecurityFilterChain apiFilterChain(HttpSecurity http) throws Exception {
http
.antMatcher("/api/**") (3)
.authorizeHttpRequests(authorize -> authorize
.anyRequest().hasRole("ADMIN")
)
.httpBasic(withDefaults());
return http.build();
}
@Bean (4)
public SecurityFilterChain formLoginFilterChain(HttpSecurity http) throws Exception {
http
.authorizeHttpRequests(authorize -> authorize
.anyRequest().authenticated()
)
.formLogin(withDefaults());
return http.build();
}
}| 1 | 正常配置身份验证 |
| 2 | 注册SecurityFilterChain包含@Order指定哪个SecurityFilterChain应该首先考虑。 |
| 3 | 这http.antMatcher声明该HttpSecurity仅适用于以/api/ |
| 4 | 注册另一个实例SecurityFilterChain.
如果 URL 不是以/api/将使用此配置。
此配置在apiFilterChain因为它有一个@Order值1（否@Order默认为 last）。 |
自定义 DSL
您可以在 Spring Security 中提供自己的自定义 DSL。 例如，您可能有如下所示的内容：
public class MyCustomDsl extends AbstractHttpConfigurer<MyCustomDsl, HttpSecurity> {
private boolean flag;
@Override
public void init(HttpSecurity http) throws Exception {
// any method that adds another configurer
// must be done in the init method
http.csrf().disable();
}
@Override
public void configure(HttpSecurity http) throws Exception {
ApplicationContext context = http.getSharedObject(ApplicationContext.class);
// here we lookup from the ApplicationContext. You can also just create a new instance.
MyFilter myFilter = context.getBean(MyFilter.class);
myFilter.setFlag(flag);
http.addFilterBefore(myFilter, UsernamePasswordAuthenticationFilter.class);
}
public MyCustomDsl flag(boolean value) {
this.flag = value;
return this;
}
public static MyCustomDsl customDsl() {
return new MyCustomDsl();
}
}这实际上就是像HttpSecurity.authorizeRequests()被实施。 |
然后可以像这样使用自定义 DSL：
@EnableWebSecurity
public class Config {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.apply(customDsl())
.flag(true)
.and()
...;
return http.build();
}
}按以下顺序调用代码：
-
调用 'Config' 配置方法中的代码
-
调用 'MyCustomDsl 的 init 方法中的代码
-
调用 'MyCustomDsl' 配置方法中的代码
如果需要，您可以添加MyCustomDsl自HttpSecurity默认情况下，使用SpringFactories.
例如，您可以在名为META-INF/spring.factories包含以下内容：
org.springframework.security.config.annotation.web.configurers.AbstractHttpConfigurer = sample.MyCustomDsl
希望禁用默认值的用户可以显式禁用。
@EnableWebSecurity
public class Config {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.apply(customDsl()).disable()
...;
return http.build();
}
}后处理已配置对象
Spring Security 的 Java 配置不会公开它配置的每个对象的每个属性。 这简化了大多数用户的配置。 毕竟，如果每个属性都公开了，用户可以使用标准 bean 配置。
虽然有充分的理由不直接公开每个属性，但用户可能仍然需要更高级的配置选项。为了解决这个问题，Spring Security 引入了ObjectPostProcessor它可用于修改或替换由 Java 配置创建的许多对象实例。例如，如果您想配置filterSecurityPublishAuthorizationSuccess属性FilterSecurityInterceptor您可以使用以下内容：
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http
.authorizeRequests(authorize -> authorize
.anyRequest().authenticated()
.withObjectPostProcessor(new ObjectPostProcessor<FilterSecurityInterceptor>() {
public <O extends FilterSecurityInterceptor> O postProcess(
O fsi) {
fsi.setPublishAuthorizationSuccess(true);
return fsi;
}
})
);
return http.build();
}