個(gè)性化認(rèn)證！Spring Security 輕松擴(kuò)展登錄字段
1. 簡(jiǎn)介
Spring Security是一個(gè)功能強(qiáng)大且高度可定制的身份驗(yàn)證和訪問(wèn)控制框架，它是Spring家族中的核心一員。它基于Spring框架，為基于Java的企業(yè)應(yīng)用程序提供全面的安全性解決方案。
Spring Security支持認(rèn)證、授權(quán)、加密、會(huì)話管理等核心安全功能，并提供了與Spring MVC等Spring框架的無(wú)縫集成。通過(guò)簡(jiǎn)單的配置和注解，開(kāi)發(fā)者可以輕松地將其集成到應(yīng)用程序中，保護(hù)應(yīng)用程序免受各種安全威脅。
默認(rèn)情況下，Spring Security 提供了基于用戶名/密碼的安全驗(yàn)證，如下默認(rèn)的登錄示例：
圖片
該頁(yè)面是Spring Security內(nèi)置的登錄頁(yè)面，它是基于用戶名和密碼的驗(yàn)證，要完成該認(rèn)證方式其實(shí)非常的簡(jiǎn)單，我們只需要提供UserDetailsService和PasswordEncoder 兩個(gè)Bean，或者是提供AuthenticationProvider 一個(gè)Bean即可。
現(xiàn)在我們希望擴(kuò)展登錄認(rèn)證，添加域的登錄驗(yàn)證，如下登錄頁(yè)面：
圖片
該頁(yè)面的登錄認(rèn)證，我們不僅局限于驗(yàn)證用戶名和密碼，還額外要求驗(yàn)證特定的域信息，以確保用戶身份的全面驗(yàn)證與訪問(wèn)控制的安全性。
本篇文章我們將詳細(xì)的介紹如何實(shí)現(xiàn)上面的認(rèn)證要求。
2. 實(shí)戰(zhàn)案例
2.1 定義實(shí)體對(duì)象&Repository
@Entity
@Table(name = "s_user")
public class User implements UserDetails {
@Id
@GeneratedValue(strategy = GenerationType.IDENTITY)
private Long id ;
private String username ;
private String domain ;
private String password ;
// getters, setters
}該實(shí)體對(duì)象實(shí)現(xiàn)了UserDetails接口，其主要作用是，在后續(xù)自定義UserDetailsService時(shí)，能夠基于用戶名及域來(lái)查詢并返回相應(yīng)的用戶詳情對(duì)象。
Repository接口定義
該接口提供一個(gè)根據(jù)用戶名及域的查詢方法
public interface UserRepository extends JpaRepository<User, Long> {
User findByUsernameAndDomain(String username, String domain) ;
}接下來(lái)，我們需要定義與安全認(rèn)證相關(guān)的代碼了。
2.2 自定義過(guò)濾器
public class ExtraAuthenticationFilter extends OncePerRequestFilter {
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
throws ServletException, IOException {
ExtraHttpRequest req = new ExtraHttpRequest(request) ;
filterChain.doFilter(req, response) ;
}
}該過(guò)濾器的作用是用來(lái)，處理登錄頁(yè)面的請(qǐng)求參數(shù)，我們需要將用戶名及域兩個(gè)字段進(jìn)行合并處理。
public class ExtraHttpRequest extends HttpServletRequestWrapper {
public ExtraHttpRequest(HttpServletRequest request) {
super(request) ;
}
@Override
public String getParameter(String name) {
// 判斷如果參數(shù)名是指定的名稱，則我們將用戶名與域兩個(gè)表單值進(jìn)行拼接
if (SecurityConfig.LOGIN_NAME_PARAMETER.equals(name)) {
String username = super.getParameter(SecurityConfig.LOGIN_NAME_PARAMETER) ;
String domain = super.getParameter(SecurityConfig.LOGIN_DOMAIN_PARAMETER) ;
return username + Character.LINE_SEPARATOR + domain ;
}
return super.getParameter(name) ;
}
}這里拼接后，我們會(huì)在后續(xù)進(jìn)行解析處理。
2.3 安全配置
@Configuration
public class SecurityConfig {
public static final String LOGIN_NAME_PARAMETER = "username" ;
public static final String LOGIN_DOMAIN_PARAMETER = "domain" ;
@Bean
SecurityFilterChain securityFilterChain(HttpSecurity http) throws Throwable {
http.csrf(csrf -> csrf.disable()) ;
http.authorizeHttpRequests(registry -> {
registry.requestMatchers("*.html", "*.css", "*.js", "/login").permitAll() ;
registry.requestMatchers("/**").authenticated() ;
}) ;
http.formLogin(form -> {
// 自定義登錄頁(yè)面
form.loginPage("/login").usernameParameter(LOGIN_NAME_PARAMETER) ;
}) ;
// 將我們自定義的過(guò)濾器，添加到安全過(guò)濾器鏈中，并且是在UsernamePasswordAuthenticationFilter
// 過(guò)濾器之前執(zhí)行
http.addFilterBefore(extraAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class) ;
return http.build() ;
}
@Bean
ExtraAuthenticationFilter extraAuthenticationFilter() {
return new ExtraAuthenticationFilter() ;
}
@Bean
PasswordEncoder noopPasswordEncoder() {
return new PasswordEncoder() {
@Override
public boolean matches(CharSequence rawPassword, String encodedPassword) {
return rawPassword != null && encodedPassword != null && rawPassword.equals(encodedPassword) ;
}
@Override
public String encode(CharSequence rawPassword) {
return rawPassword.toString() ;
}
};
}
}下面我們會(huì)配置自定義的UserDetailsService對(duì)象，所以我們還需要提供一個(gè)PasswordEncoder類型的bean，由于我們沒(méi)有對(duì)密碼進(jìn)行加密處理，所以我們只是做了簡(jiǎn)單的相等判斷。
@Component
public class PackUserDetailsService implements UserDetailsService {
private final UserRepository userRepository ;
public PackUserDetailsService(UserRepository userRepository) {
this.userRepository = userRepository;
}
// 由于這里需要返回的是UserDetails對(duì)象，所以我們上面的User實(shí)體
// 實(shí)現(xiàn)了該接口
@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
// 上面的過(guò)濾器中我們將用戶與域進(jìn)行了組裝，所以這里將用戶名進(jìn)行解析處理
String[] info = StringUtils.split(username, String.valueOf(Character.LINE_SEPARATOR)) ;
return this.userRepository.findByUsernameAndDomain(info[0], info[1]) ;
}
}再次說(shuō)明：在Spring Security中，要么你提供UserDetailsService和PasswordEncoder兩個(gè)Bean，要么提供一個(gè)AuthenticationProvider（通常我們可以定義DaoAuthenticationProvider即可）類型的Bean。這樣就能使用自定義的邏輯進(jìn)行安全認(rèn)證。
2.4 自定義登錄頁(yè)面
我們將使用thymeleaf來(lái)編寫登錄頁(yè)面，需要引入如下的依賴：
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-thymeleaf</artifactId>
</dependency>
<dependency>
<groupId>org.thymeleaf.extras</groupId>
<artifactId>thymeleaf-extras-springsecurity6</artifactId>
</dependency>配置thymeleaf
spring:
thymeleaf:
prefix: classpath:/static/
suffix: .html
cache: false下面是登錄頁(yè)面
<html lang="en">
<head>
<meta charset="UTF-8">
<title>安全登錄</title>
<link rel="stylesheet">
<style type="text/css">
body {
margin: 10px auto;
}
.form-signin {
width: 50%; /* 根據(jù)需要調(diào)整寬度 */
margin: 0 auto;
padding: 20px; /* 可選，為表單添加內(nèi)邊距 */
border: 1px solid #ccc; /* 可選，為表單添加邊框 */
border-radius: 6px; /* 可選，為表單邊框添加圓角 */
}
</style>
</head>
<body>
<form class="form-signin" th:action="@{/login}" method="post">
<h2 class="form-signin-heading">安全登錄</h2>
<p th:if="${param.error}" class="error">錯(cuò)誤的用戶名/域, 密碼</p>
<p>
<label for="username" class="sr-only">帳號(hào)</label>
<input type="text" id="username" name="username" class="form-control" placeholder="用戶名" required autofocus/>
</p>
<p>
<label for="domain" class="sr-only">域</label>
<input type="text" id="domain" name="domain" class="form-control" placeholder="登錄域" required autofocus/>
</p>
<p>
<label for="password" class="sr-only">密碼</label>
<input type="password" id="password" name="password" class="form-control" placeholder="密碼" required autofocus/>
</p>
<button class="btn btn-sm btn-primary btn-block" type="submit">登錄</button>
<a href="/index" th:href="@{/index}">返回</a>
</form>
</body>
</html>該login.html頁(yè)面保存在classpath下的/static目錄中即可。
最后，我們還需要定義一個(gè)/login接口，用來(lái)跳轉(zhuǎn)到上面的登錄頁(yè)面
@Controller
public class LoginController {
@GetMapping("/login")
public String login() {
return "login" ;
}
}以上我們就完成了所有的代碼編寫。
2.4 測(cè)試
@RestController
@RequestMapping("/api")
public class ApiController {
@GetMapping("/query")
public ResponseEntity<Object> query() {
return ResponseEntity.ok("api query success") ;
}
}數(shù)據(jù)庫(kù)中的數(shù)據(jù)
圖片
訪問(wèn)/api/query接口將跳轉(zhuǎn)到登錄頁(yè)面
圖片
成功登錄后，跳回之前的頁(yè)面/api/query
圖片
