Spring 4 安全 MVC 登录注销示例

教程
Spring

今天我们将学习关于Spring安全登录示例。在阅读本文之前，请先阅读我的上一篇帖子“Spring 4安全介绍”来获取一些基础知识。

Spring安全登录登出示例

在本文中，我们将开发Spring 4 MVC安全 Web应用程序，通过使用内存选项提供登录和注销功能。这个例子使用了Spring Java配置和Spring注解，意味着不使用web.xml和Spring XML配置（旧风格）。如果您对Spring 3.x安全模块不熟悉，请先阅读以下帖子来品尝Spring安全配方。

  1. 使用内存、UserDetailsService和JDBC身份验证的Spring MVC安全示例
  2. 在Servlet Web应用程序中使用DAO、JDBC、内存身份验证的Spring安全

Spring 4安全模块支持以下选项来存储和管理用户凭据：

  1. 内存存储
  2. 关系数据库（RDBMS）
  3. 无SQL数据存储
  4. LDAP

我们将在这个例子中使用“内存存储”选项。我们将在接下来的帖子中讨论其他选项。我们将使用Spring 4.0.2.RELEASE、Spring STS 3.7 Suite IDE、Spring TC Server 3.1以及Java 1.8和Maven构建工具来开发这个例子。

Spring安全登录示例

我们将使用Spring 4安全特性来开发登录和注销逻辑。这个应用程序的主要目的是开发一个不使用“web.xml”且不编写一行Spring XML Beans配置的应用程序。这意味着我们将使用Spring Java配置功能和Spring注解。我们将使用以下功能开发此应用程序：

  1. 欢迎页面
  2. 登录页面
  3. 主页
  4. 注销功能

请按照以下步骤开发和探索这个Spring 4安全简单登录示例。

  • 在Spring STS套件中创建一个“简单的Spring Web Maven”项目，并填写以下细节
   Project Name : SpringMVCSecruityMavenApp
  • 使用以下内容更新pom.xml
<?xml version="1.0" encoding="UTF-8"?>
<project
   xsi:schemaLocation="https://maven.apache.org/POM/4.0.0 
   https://maven.apache.org/xsd/maven-4.0.0.xsd"
   xmlns="https://maven.apache.org/POM/4.0.0" 
   xmlns:xsi="https://www.w3.org/2001/XMLSchema-instance">

	<modelVersion>4.0.0</modelVersion>
	<groupId>com.journaldev</groupId>
	<artifactId>SpringMVCSecruityMavenApp</artifactId>
	<packaging>war</packaging>
	<version>1.0</version>

	<properties>
	    <java.version>1.8</java.version>
	    <spring.version>4.0.2.RELEASE</spring.version>
	    <spring.security.version>4.0.2.RELEASE</spring.security.version>
	    <servlet.api.version>3.1.0</servlet.api.version>
	    <jsp.api.version>2.2</jsp.api.version>
	    <jstl.version>1.2</jstl.version>
	</properties>

	<dependencies>
		<dependency>
			<groupId>org.springframework</groupId>
			<artifactId>spring-core</artifactId>
			<version>${spring.version}</version>
		</dependency>
		<dependency>
			<groupId>org.springframework</groupId>
			<artifactId>spring-web</artifactId>
			<version>${spring.version}</version>
		</dependency>
		<dependency>
			<groupId>org.springframework</groupId>
			<artifactId>spring-webmvc</artifactId>
			<version>${spring.version}</version>
		</dependency>
		<dependency>
			<groupId>org.springframework.security</groupId>
			<artifactId>spring-security-web</artifactId>
			<version>${spring.security.version}</version>
		</dependency>
		<dependency>
			<groupId>org.springframework.security</groupId>
			<artifactId>spring-security-config</artifactId>
			<version>${spring.security.version}</version>
		</dependency>
		<dependency>
			<groupId>javax.servlet</groupId>
			<artifactId>javax.servlet-api</artifactId>
			<version>${servlet.api.version}</version>
		</dependency>		
		<dependency>
			<groupId>javax.servlet.jsp</groupId>
			<artifactId>jsp-api</artifactId>
			<version>${jsp.api.version}</version>
		</dependency>
		<dependency>
			<groupId>jstl</groupId>
			<artifactId>jstl</artifactId>
			<version>${jstl.version}</version>
		</dependency>
	</dependencies>	

	<build>
	    <finalName>SpringMVCSecruityMavenApp</finalName>
	    <plugins>
		<plugin>
		     <groupId>org.apache.maven.plugins</groupId>
		     <artifactId>maven-compiler-plugin</artifactId>
		     <version>3.1</version>
		     <configuration>
			<source>${java.version}</source>
			<target>${java.version}</target>
		     </configuration>
		</plugin>
		<plugin>
	           <groupId>org.apache.maven.plugins</groupId>
	           <artifactId>maven-war-plugin</artifactId>
	           <configuration>
	              <failOnMissingWebXml>false</failOnMissingWebXml>
	           </configuration>           
        	</plugin>
	    </plugins>
	</build>
</project>

注意:-如果您不了解“”标志，请在本文末尾阅读，以充分理解此元素的用法。- 首先，使用Spring的@Controller注解开发登录控制器。
LoginController.java

package com.journaldev.spring.web.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestMethod;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.servlet.ModelAndView;

@Controller
public class LoginController {

	@RequestMapping(value = { "/"}, method = RequestMethod.GET)
	public ModelAndView welcomePage() {
		ModelAndView model = new ModelAndView();
		model.setViewName("welcomePage");
		return model;
	}

	@RequestMapping(value = { "/homePage"}, method = RequestMethod.GET)
	public ModelAndView homePage() {
		ModelAndView model = new ModelAndView();
		model.setViewName("homePage");
		return model;
	}
	
	@RequestMapping(value = "/loginPage", method = RequestMethod.GET)
	public ModelAndView loginPage(@RequestParam(value = "error",required = false) String error,
	@RequestParam(value = "logout",	required = false) String logout) {
		
		ModelAndView model = new ModelAndView();
		if (error != null) {
			model.addObject("error", "Invalid Credentials provided.");
		}

		if (logout != null) {
			model.addObject("message", "Logged out from JournalDEV successfully.");
		}

		model.setViewName("loginPage");
		return model;
	}

}

代码解释:-我们在“LoginController”中定义了三种方法来处理三种不同类型的客户端请求

  1. welcomePage()将处理所有使用“/”URI的客户端请求。
  2. homePage()将处理所有使用“/homePage”URI的客户端请求。
  3. loginPage()将处理所有使用“/loginPage”URI的客户端请求。
  4. 在loginPage()中，我们处理了错误和注销消息。
  • 然后开发一个名为“LoginSecurityConfig”的类，使用Spring 4安全API提供登录和注销安全功能。
    LoginSecurityConfig.java
package com.journaldev.spring.secuity.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class LoginSecurityConfig extends WebSecurityConfigurerAdapter {

	@Autowired
	public void configureGlobal(AuthenticationManagerBuilder authenticationMgr) throws Exception {
		authenticationMgr.inMemoryAuthentication()
			.withUser("journaldev")
			.password("jd@123")
			.authorities("ROLE_USER");
	}
	
	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http.authorizeRequests()
			.antMatchers("/homePage").access("hasRole('ROLE_USER')")
			.and()
				.formLogin().loginPage("/loginPage")
				.defaultSuccessUrl("/homePage")
				.failureUrl("/loginPage?error")
				.usernameParameter("username").passwordParameter("password")				
			.and()
				.logout().logoutSuccessUrl("/loginPage?logout"); 
		
	}
}

代码解释:-我们在“LoginSecurityConfig”中定义了两种方法来存储和管理用户凭据，并处理登录和注销安全功能。

  1. @EnableWebSecurity注解用于在任何Web应用程序中启用Web安全性。
  2. @EnableWebMVCSecurity注解用于在基于Spring MVC的Web应用程序中启用Web安全性。
    注意： @EnableWebSecurity = @EnableWebMVCSecurity + 额外功能。这就是为什么在Spring 4.x框架中@EnableWebMVCSecurity注解已被弃用。4。“LoginSecurityConfig”类或任何用于配置Spring Security的类都应扩展“WebSecurityConfigurerAdapter”类或实现相关接口。
  3. configureGlobal()方法用于存储和管理用户凭据。
  4. 在configureGlobal()方法中，我们可以使用authorities()方法来定义应用程序角色，如“ROLE_USER”。我们也可以使用roles()方法来实现同样的目的。
  5. authorities()和roles()方法之间的区别：
  6. authorities()需要完整的角色名称，如“ROLE_USER”，而roles()方法需要一个角色名称，如“USER”。它将自动将“ROLE_”值添加到这个“USER”角色名称中。注意：我们将开发另一个示例来演示“USER”、“ADMIN”等角色，在我接下来的文章中。
  7. 负责处理登录和注销安全性的重要方法是configure(HttpSecurity http)
  8. 以下代码片段用于防止未经授权访问“/homePage”。如果您尝试直接访问此页面，我们将自动重定向到“/loginPage”页面。
.antMatchers("/homePage").access("hasRole('ROLE_USER')")

如果我们移除 access(“hasRole(‘ROLE_USER’)”) 方法调用，那么我们可以在不登录到我们的应用程序的情况下访问这个页面。13. 我们使用 formLogin() 和 logout() 方法配置了登录和注销功能。

  • 启用 Spring MVC 配置
    LoginApplicationConfig.java
package com.journaldev.spring.secuity.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.ComponentScan;
import org.springframework.context.annotation.Configuration;
import org.springframework.context.annotation.Import;
import org.springframework.web.servlet.config.annotation.EnableWebMvc;
import org.springframework.web.servlet.view.InternalResourceViewResolver;
import org.springframework.web.servlet.view.JstlView;

@EnableWebMvc
@Configuration
@ComponentScan({ "com.journaldev.spring.*" })
@Import(value = { LoginSecurityConfig.class })
public class LoginApplicationConfig {
	@Bean
	public InternalResourceViewResolver viewResolver() {
		InternalResourceViewResolver viewResolver = new InternalResourceViewResolver();
		viewResolver.setViewClass(JstlView.class);
		viewResolver.setPrefix("/WEB-INF/views/");
		viewResolver.setSuffix(".jsp");
		return viewResolver;
	}
	
}

代码解释:- 我们使用 “LoginApplicationConfig” 类来定义 Spring MVC 视图解析器，以避免编写 “web.xml” 文件。

  1. @EnableWebMvc 注解用于在 Spring 框架中启用 Spring Web MVC 应用程序功能
  2. @Import 注解用于将 Spring 安全配置类导入到此类中。
  3. @ComponentScan 注解用于在指定的包中进行组件扫描。它相当于 Spring XML 配置中的 “context:component-scan”。
  • 初始化 Spring 安全性
package com.journaldev.spring.secuity.config.core;

import org.springframework.security.web.context.AbstractSecurityWebApplicationInitializer;

public class SpringSecurityInitializer extends AbstractSecurityWebApplicationInitializer {

}

“SpringSecurityInitializer” 用于注册 DelegatingFilterProxy 以使用 springSecurityFilterChain。它避免了在 web.xml 文件中编写过滤器配置。- 初始化 Spring MVC 应用程序
“SpringMVCWebAppInitializer” 类用于在基于注解的配置中初始化 “DispatcherServlet” 而不使用 web.xml 文件。SpringMVCWebAppInitializer.java

package com.journaldev.spring.secuity.config.core;

import org.springframework.web.servlet.support.AbstractAnnotationConfigDispatcherServletInitializer;
import com.journaldev.spring.secuity.config.LoginApplicationConfig;

public class SpringMVCWebAppInitializer extends AbstractAnnotationConfigDispatcherServletInitializer {

	@Override
	protected Class<?>[] getRootConfigClasses() {
		return new Class[] { LoginApplicationConfig.class };
	}

	@Override
	protected Class<?>[] getServletConfigClasses() {
		return null;
	}

	@Override
	protected String[] getServletMappings() {
		return new String[] { "/" };
	}
	
}

注意:-

  1. 当我们访问我们的应用程序时，默认情况下，SpringMVCWebAppInitializer的getServletMappings()将允许访问根URL：“/”。我们可以覆盖它以转发到不同的URL。
  2. Spring或Pivotal团队正在处理此问题，以通过引入注释来避免这么多的Java代码。请查看：https://jira.spring.io/browse/SPR-10359。
  • 开发welcomePage.jsp文件
<h3>Welcome to JournalDEV Tutorials</h3>
<a href="${pageContext.request.contextPath}/loginPage">Login to Journal</a>
  • 开发loginPage.jsp文件
<%@ taglib prefix="c" uri="https://java.sun.com/jsp/jstl/core"%>
<html>
<body onload='document.loginForm.username.focus();'>
	<h3>JournalDEV Tutorials</h3>

	<c:if test="${not empty error}"><div>${error}</div></c:if>
	<c:if test="${not empty message}"><div>${message}</div></c:if>

	<form name='login' action="<c:url value='/loginPage' />" method='POST'>
		<table>
			<tr>
				<td>UserName:</td>
				<td><input type='text' name='username' value=''></td>
			</tr>
			<tr>
				<td>Password:</td>
				<td><input type='password' name='password' /></td>
			</tr>
			<tr>
				<td colspan='2'><input name="submit" type="submit" value="submit" /></td>
			</tr>
		</table>
		<input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
	</form>
</body>
</html>
  • 开发homepage.jsp文件
<%@taglib prefix="c" uri="https://java.sun.com/jsp/jstl/core"%>
<h3>Welcome to JournalDEV Tutorials</h3>
<ul>
	<li>Java 8 tutorial</li>
	<li>Spring tutorial</li>
	<li>Gradle tutorial</li>
	<li>BigData tutorial</li>
</ul>

<c:url value="/logout" var="logoutUrl" />
<form id="logout" action="${logoutUrl}" method="post" >
  <input type="hidden" name="${_csrf.parameterName}" value="${_csrf.token}" />
</form>
<c:if test="${pageContext.request.userPrincipal.name != null}">
	<a href="javascript:document.getElementById('logout').submit()">Logout</a>
</c:if>
  • 最终项目结构如下：

运行Spring Security MVC登录注销示例

要运行此Spring Web应用程序，我们需要任何支持Spring 4和Java 8环境以及Servlet 3.1.0容器的Web容器。

  • 在Spring STS套件中的Spring TC服务器上部署和运行
  • 它会自动访问我们应用程序的欢迎页面URL，如下所示。
    – 点击“登录到JournalDEV”链接以访问登录页面。
    – 现在，提供错误的登录详细信息并单击“登录”按钮。
    在这里，我们可以观察到这个错误消息：“提供的凭据无效。”- 现在，提供在“LoginSecurityConfig”类中配置的正确登录详细信息。
    成功登录到我们的应用程序后，我们可以看到我们的应用程序主页上有“注销”链接。- 点击“注销”链接以从应用程序注销。
    在这里，我们可以观察到我们已成功从应用程序注销，并被重定向到登录页面。我们可以在这个登录页面上观察到一些注销成功的消息。

注意：如果我们观察这个例子，我们并没有使用web.xml文件。由于它是一个Web应用程序，Maven会搜索web.xml文件，如果在应用程序中找不到它，就会引发一些错误。为了避免Maven相关的问题，我们需要在pom.xml文件中配置“<failOnMissingWebXml>”标志。就是这样，关于Spring 4安全模块的简单示例就介绍完了。在我的后续文章中，我们将开发一些更实用的实时示例，比如管理角色、记住我特性、WebSocket安全等等。如果您喜欢我的文章或有任何问题/建议，请给我留言。

Source:
https://www.digitalocean.com/community/tutorials/spring-4-security-mvc-login-logout-example