819 lines
39 KiB
Markdown
819 lines
39 KiB
Markdown
- [Spring Security](#spring-security)
|
||
- [Spring Security简介](#spring-security简介)
|
||
- [Spring Security自动配置](#spring-security自动配置)
|
||
- [Spring Security结构](#spring-security结构)
|
||
- [DelegatingFilterProxy](#delegatingfilterproxy)
|
||
- [FilterChainProxy](#filterchainproxy)
|
||
- [SecurityFilterChain](#securityfilterchain)
|
||
- [SecurityFilters](#securityfilters)
|
||
- [添加自定义filter到SecurityFilterChain](#添加自定义filter到securityfilterchain)
|
||
- [处理Security异常](#处理security异常)
|
||
- [在多次认证之间保存request](#在多次认证之间保存request)
|
||
- [RequestCache](#requestcache)
|
||
- [Spring Security身份认证架构](#spring-security身份认证架构)
|
||
- [SecurityContextHolder](#securitycontextholder)
|
||
- [SecurityContext](#securitycontext)
|
||
- [Authentication](#authentication)
|
||
- [GrantedAuthority](#grantedauthority)
|
||
- [AuthenticationManager](#authenticationmanager)
|
||
- [ProviderManager](#providermanager)
|
||
- [AuthenticationProvider](#authenticationprovider)
|
||
- [AuthenticationEntryPoint](#authenticationentrypoint)
|
||
- [AbstractAuthenticationProcessingFilter](#abstractauthenticationprocessingfilter)
|
||
- [Username/Password Authentication](#usernamepassword-authentication)
|
||
- [发布AuthenticationManager bean](#发布authenticationmanager-bean)
|
||
- [自定义AuthenticationManager](#自定义authenticationmanager)
|
||
- [从请求中读取Username/Password](#从请求中读取usernamepassword)
|
||
- [Form](#form)
|
||
- [非/login请求时，UsernamePassword并不执行认证校验逻辑](#非login请求时usernamepassword并不执行认证校验逻辑)
|
||
- [HttpBasic](#httpbasic)
|
||
- [Digest](#digest)
|
||
- [password storage](#password-storage)
|
||
- [in-memory authentication](#in-memory-authentication)
|
||
- [jdbc authentication](#jdbc-authentication)
|
||
- [UserDetails](#userdetails)
|
||
- [UserDetailsService](#userdetailsservice)
|
||
- [RememberMe](#rememberme)
|
||
- [hash based token](#hash-based-token)
|
||
- [将token持久化到数据库中](#将token持久化到数据库中)
|
||
- [RememberMe的接口及其实现](#rememberme的接口及其实现)
|
||
- [TokenBasedRememberMeService](#tokenbasedremembermeservice)
|
||
- [匿名身份认证](#匿名身份认证)
|
||
- [匿名认证配置](#匿名认证配置)
|
||
- [处理logout](#处理logout)
|
||
- [自定义登出url](#自定义登出url)
|
||
|
||
|
||
# Spring Security
|
||
## Spring Security简介
|
||
Spring Security作为一个安全框架，向使用者提供了用户认证、授权、常规攻击保护等功能。
|
||
## Spring Security自动配置
|
||
默认情况下，在引入Spring Security的启动器依赖之后，Spring Boot自动配置会做如下工作：
|
||
- 启用Spring Security的默认配置，创建一个的bean对象，bean对象名称为“springSecurityFilterChain”，bean对象类型为SecurityFilterChain，实现了Filter。该bean对象为负责应用中所有与安全相关的操作（例如验证提交的username和password，保护应用的url等）
|
||
- 创建一个UserDetailsService的bean对象，并且产生一个为”user“的username和一个随机产生的password，随机产生的password会输出在console日志中
|
||
- 将名为springSecurityFilterChain的bean对象注册到servlet容器中，用来对每个servlet请求进行处理
|
||
> Spring Security会通过Spring Security会通过BCtypt（Hash解密算法）来对密码的存储进行保护
|
||
|
||
## Spring Security结构
|
||
### DelegatingFilterProxy
|
||
Spring提供了Filter的一个实现类DelegatingFilterProxy，其将Servlet容器的生命周期和Spring的ApplicationContext连接在一起。
|
||
***DelegatingFilterProxy会通过标准的servlet容器机制被注册，但是将所有工作都委托给Spring容器中实现了Filter的bean对象***。
|
||
> DelegatingFilterProxy会在ApplicationContext中查找实现了Filter的bean对象，并且调用该bean对象的doFilter方法
|
||
> ```java
|
||
> public void doFilter(ServletRequest request,
|
||
> ServletResponse response, FilterChain chain) {
|
||
> // Lazily get Filter that was registered as a Spring Bean
|
||
> // For the example in DelegatingFilterProxy delegate is an instance of Bean Filter0
|
||
> Filter delegate = getFilterBean(someBeanName);
|
||
> // delegate work to the Spring Bean
|
||
> delegate.doFilter(request, response);
|
||
> }
|
||
> ```
|
||
|
||
### FilterChainProxy
|
||
Spring Security支持FilterChainProxy，FilterChainProxy是一个由Spring Security提供的特殊Filter，FilterChainProxy通过SecurityFilterChain允许向多个Filters委托工作。
|
||
***FilterChainProxy是一个bean对象，通过被包含在DelegatingFilterProxy中。***
|
||
|
||
### SecurityFilterChain
|
||
SecurityFilterChain通常被FilterChainProxy使用，用来决定在该次请求中调用哪个Spring Security Filters。
|
||
|
||
### SecurityFilters
|
||
Security Filters通过SecurityFilterChain API被插入到FilterChainProxy中。
|
||
|
||
### 添加自定义filter到SecurityFilterChain
|
||
大多数情况下，默认的security是足够的，但是，也允许向security filter chain中添加自定义过滤器。
|
||
|
||
如下是一个自定义过滤器的示例，示例中自定义filter会在认证后校验用户对于请求的租户是否拥有权限：
|
||
```java
|
||
import java.io.IOException;
|
||
|
||
import jakarta.servlet.Filter;
|
||
import jakarta.servlet.FilterChain;
|
||
import jakarta.servlet.ServletException;
|
||
import jakarta.servlet.ServletRequest;
|
||
import jakarta.servlet.ServletResponse;
|
||
import jakarta.servlet.http.HttpServletRequest;
|
||
import jakarta.servlet.http.HttpServletResponse;
|
||
|
||
import org.springframework.security.access.AccessDeniedException;
|
||
|
||
public class TenantFilter implements Filter {
|
||
|
||
@Override
|
||
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
|
||
HttpServletRequest request = (HttpServletRequest) servletRequest;
|
||
HttpServletResponse response = (HttpServletResponse) servletResponse;
|
||
|
||
String tenantId = request.getHeader("X-Tenant-Id"); //(1)
|
||
boolean hasAccess = isUserAllowed(tenantId); //(2)
|
||
if (hasAccess) {
|
||
filterChain.doFilter(request, response); //(3)
|
||
return;
|
||
}
|
||
throw new AccessDeniedException("Access denied"); //(4)
|
||
}
|
||
|
||
}
|
||
```
|
||
如下是自定义过滤器链的流程：
|
||
1. 步骤从请求header中获取了tenantId
|
||
2. 步骤校验了用户对于该tenant id代表的租户资源是否拥有访问权限
|
||
3. 只有当用户对租户资源拥有访问权限时，才会继续调用filterChain中剩余的部分
|
||
4. 如果用户没有访问权限，将会抛出AccessDeniedException
|
||
|
||
在定义完自定义过滤器后，还需要将自定义filter添加到Security Filter Chain中，添加代码如下所示例：
|
||
```java
|
||
@Bean
|
||
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
|
||
http
|
||
// ...
|
||
.addFilterBefore(new TenantFilter(), AuthorizationFilter.class);
|
||
return http.build();
|
||
}
|
||
```
|
||
> 由于权限校验操作在身份认证之后，故而将TenantFilter加到AuthorizationFilter之前可以保证在执行TenantFilter时，所有的身份认证操作都已经执行完成。
|
||
|
||
> 在向SecurityFilterChain注册filter时，不应该将自定义filter注册为bean，因为spring会将注册为bean的filter对象都添加到内置容器中，这会造成注册为bean的filter被调用两次：一次被Spring Seurity调用，一次被container调用。
|
||
|
||
|
||
|
||
### 处理Security异常
|
||
ExceptionTranslationFilter将`AccessDeniedException`和`AuthenticationException`翻译为http response。
|
||
|
||
> ExceptionTranslationFilter被插入到FilterChainProxy中，作为SecurityFilterChain中的一个filter。
|
||
> 如果应用程序没有抛出AccessDeniedException或AuthenticationException，那么ExceptionTranslationFilter并不会做任何事情。
|
||
|
||
ExceptionTranslationFilter的处理流程：
|
||
1. ExceptionTranslationFilter首先会调用`filterChain.doFilter`来执行后续的逻辑
|
||
2. 在执行后续请求时，如果抛出了AuthenticationException，那么则会开启认证流程
|
||
1. 清空SecurityContextHolder
|
||
2. 保存HttpServletRequest，当认证通过时，还能重新发送原始请求
|
||
3. `AuthenticationEntryPoint`用于重新请求用户的凭证，其可能会重定向到登录页面或是发送 `www-authenticate`header
|
||
3. 在执行后续请求时，如果抛出了AccessDeniedException，那么会调用`AccessDeniedHandler`用于处理访问拒绝。
|
||
4. 如果执行后续逻辑时，抛出了非`AuthenticationException`和`AccessDeniedException`的异常，那么异常将会被重新抛出，ExceptionTranslationFilter并不会针对其进行处理
|
||
|
||
```java
|
||
// ExceptionTranslationFilter的伪代码
|
||
try {
|
||
filterChain.doFilter(request, response);
|
||
} catch (AccessDeniedException | AuthenticationException ex) {
|
||
if (!authenticated || ex instanceof AuthenticationException) {
|
||
startAuthentication();
|
||
} else {
|
||
accessDenied();
|
||
}
|
||
}
|
||
```
|
||
|
||
### 在多次认证之间保存request
|
||
如果用户在发送请求访问需要认证的资源时，尚未经过身份认证，那么需要将本次请求保存起来，并且对用户进行认证，待用户认证通过之后，再重新执行保存的原始请求。在Spring Security中，是通过RequestCache来实现保存请求的。
|
||
|
||
#### RequestCache
|
||
HttpServletRequest被保存在RequestCache中，当用户经过重新认证后，RequestCache将会用于重新发送原始请求。
|
||
|
||
在Spring Security中，在sendStartAuthentication时会像requestCache中存储request，并且重新执行认证流程，认证通过后，将会重新发送原始请求。
|
||
|
||
RequestCacheAwareFilter负责请求的重新发送。
|
||
|
||
默认情况下，会使用`HttpSessionRequestCache`，如下代码展示了HttpSessionRequestCache的自定义使用：
|
||
```java
|
||
@Bean
|
||
DefaultSecurityFilterChain springSecurity(HttpSecurity http) throws Exception {
|
||
HttpSessionRequestCache requestCache = new HttpSessionRequestCache();
|
||
// 匹配本次request时，需要确保请求url参数中具有continue参数
|
||
requestCache.setMatchingRequestParameterName("continue");
|
||
http
|
||
// ...
|
||
.requestCache((cache) -> cache
|
||
.requestCache(requestCache)
|
||
);
|
||
return http.build();
|
||
}
|
||
```
|
||
|
||
由于在认证失败时存储原始请求会占用内存，如果想要禁止在抛出AuthenticationException后，保存原始请求到RequestCache的行为，可以为SecurityFilterChain指定`NullRequestCache`：
|
||
```java
|
||
@Bean
|
||
SecurityFilterChain springSecurity(HttpSecurity http) throws Exception {
|
||
RequestCache nullRequestCache = new NullRequestCache();
|
||
http
|
||
// ...
|
||
.requestCache((cache) -> cache
|
||
.requestCache(nullRequestCache)
|
||
);
|
||
return http.build();
|
||
}
|
||
```
|
||
|
||
## Spring Security身份认证架构
|
||
### SecurityContextHolder
|
||
SecurityContextHolder用于存储用户的认证信息，是Spring Security身份认证认证模型的核心，SecurityContextHolder中包含有SecurityContextHolder，SecurityContextHolder负责将当前线程和SecurityContext相关联。
|
||
|
||
如果想要将用户表示为已经通过身份认证，最简单的方式是向SecurityContextHolder中设置值，示例如下：
|
||
|
||
```java
|
||
SecurityContext context = SecurityContextHolder.createEmptyContext(); // 1
|
||
Authentication authentication =
|
||
new TestingAuthenticationToken("username", "password", "ROLE_USER"); //2
|
||
context.setAuthentication(authentication);
|
||
|
||
SecurityContextHolder.setContext(context); //3
|
||
```
|
||
|
||
上述流程如下所示：
|
||
1. 创建了一个空的SecurityContext。在最开始，应该通过createEmptyContext方法创建一个空的SecurityContext，而不是使用`getContext().setAuthentication(authentication)`，从而避免在多线程下的竞争场景
|
||
2. 第二步中，创建了一个Authentication对象，Spring Security不关注向SecurityContext中塞入了哪种类型的Authentication实现
|
||
3. 在第三步中，将SecurityContext设置到了SecurityContextHolder中，spring使用设置的SecurityContext信息进行身份认证
|
||
|
||
如果后续操作想要访问当前已认证用户的信息，可以访问SecurityContextHolder。
|
||
|
||
```java
|
||
SecurityContext context = SecurityContextHolder.getContext();
|
||
Authentication authentication = context.getAuthentication();
|
||
String username = authentication.getName();
|
||
Object principal = authentication.getPrincipal();
|
||
Collection<? extends GrantedAuthority> authorities = authentication.getAuthorities();
|
||
```
|
||
|
||
在默认情况下，`SecurityContextHolder`使用ThreadLocal来存SecurityContext，故而SecurityContext在同一线程内可以共享。在SecurityContextHolder中使用ThreadLocal是安全的，不会发生当前请求完成而SecurityContext未被清理的情况，Spring的FilterChainProxy保证SecurityContext会被清理。
|
||
|
||
在一些场景下，可能不希望使用ThreadLocal来存储ContextHolder，例如在swing程序下，可能希望整个java虚拟机中的线程都共享同一个security context。可以在启动时为SecurityContextHolder指定一个strategy，该strategy决定context应该如何被存储。
|
||
|
||
对于应用程序内所有线程共享的security context，可以使用`SecurityContextHolder.MODE_GLOBAL`策略。
|
||
|
||
### SecurityContext
|
||
Security Context用于存储用户的身份认证信息，从SecurityContextHolder中获取。
|
||
|
||
### Authentication
|
||
Authentication在Spring Security中具有两种使用场景：
|
||
- 在用户尚未被认证的场景，向`AuthenticationManager`提供用于身份认证的凭证
|
||
- 在用户已经被认证的场景，Authentication用于代表当前已经通过认证的用户，此时可以通过SecurityContext来获取用户认证信息
|
||
|
||
Authentication包含有如下信息：
|
||
- 主体（principal）：用于标识用户，当通过username/password进行认证时，其通常是UserDetails类的实例
|
||
- 凭据（credentials）：通常是password，在许多场景下为了保证凭证不会被泄露，在用户通过认证后，凭证将会被清空
|
||
- 权限（authorities）：代表用户被授予的权限，为`GrantedAuthority`的实例集合
|
||
|
||
### GrantedAuthority
|
||
GrantedAuthority是用户被授予的权限。
|
||
|
||
可以通过`Authentication.getAuthorities()`方法来获取用户被授予的权限集合，该方法会返回`GrantedAuthority`的集合。
|
||
|
||
### AuthenticationManager
|
||
AuthenticationManager定义了Security Filters如何执行认证。
|
||
|
||
AuthenticationManager会对传递给其的Authentication执行认证操作，如果认证成功，会返回一个被完全填充的Authetication对象。
|
||
|
||
在AuthenticationManager的authenticate方法返回Authentication对象之后，调用AuthenticationManager的controller会将返回的Authentication对象设置到SecurityContextHolder中。
|
||
|
||
AuthenticationManager的实现可以是任何类，最通用的实现类是`ProviderManager`.
|
||
|
||
### ProviderManager
|
||
ProviderManager是最常用的AuthenticationManager实现类，ProviderMananger将认证工作委托给了一个`AuthenticationProvider`的实例集合。在集合中的每一个AuthenticationProvider，都可以决定当前认证工作是认证成功、认证失败还是将认证工作交由集合中的后续AuthenticationProvider决定。
|
||
|
||
如果AuthenticationProvider集合中没有任何AuthenticationProvider可以决定当前认证工作是成功或是失败，那么当前认证工作会失败，并且抛出`ProviderNotFoundException`异常。该异常代表当前的认证方式没有被支持。
|
||
|
||
> 在实践中，每个AuthenticationProvider都明确其应该负责的认证方式，例如一个AuthenticationProvider负责用户名/密码形式的登录，另一个AuthenticationProvider负责saml形式的登录。故而，可以在支持多种认证方式的情况下，只通过一个AuthenticationManager bean对象来进行整合多种认证方式。
|
||
|
||
对于ProviderManager，可以配置一个parent ProviderManager，当本级没有AuthenticationProvider能够完成认证工作时，将会将认证工作委托给父级manager。
|
||
|
||
默认情况下，ProviderManager将会在认证成功后，清空任任何成功登录后返回Authenticaiton对象的凭证信息。
|
||
|
||
### AuthenticationProvider
|
||
AuthenticationProvider负责执行特定类型的认证工作，可以将多个AuthenticationProvider对象注入到同一个ProviderMananger中。
|
||
|
||
例如，DaoAuthenticationProvider支持基于用户名/密码的认证，JwtAuthenticationManager则是支持基于jwt形式的认证。
|
||
|
||
### AuthenticationEntryPoint
|
||
AuthenticationEntryPoint用于服务端向用户请求凭证（例如，重定向到登录页面，向客户端发送`WWW-Authenticate`响应等。）
|
||
|
||
一些场景下，用户在请求资源时会主动发送在请求中包含凭据。在这些场景下，spring security不用向客户返回相应来要求客户提供凭证。
|
||
|
||
在其他场景下，客户端可能在未认证的情况下发送请求来访问资源，这时，可以使用`AuthenticationEntryPoint`的实现来向客户请求凭证。`AuthenticationEntryPoint`的实现可以重定向到登录页，或是向客户端发送`WWW-Authenticate`响应，或是采用其他方式来向客户端请求凭据。
|
||
|
||
### AbstractAuthenticationProcessingFilter
|
||
`AbstractAuthenticationProcessingFilter`用于认证用户的凭据。在凭据可以被认证之前，spring security通过会通过`AuthentciationEntryPoint`来向客户请求凭据。
|
||
|
||
AbstractAuthenticationProcessingFilter通过如下流程来执行认证：
|
||
1. 当用户提交凭据时，AbstractAuthenticationProcessingFilter会根据将要被认证的request来创建一个Authentication对象，创建Authentication的类型基于AbstractAuthenticationProcessingFilter的继承类。例如，UsernamePasswordAuthenticationFilter将会基于request中提交的username和password创建一个UsernamePasswordAuthenticationToken
|
||
2. 接下来，Authentication将会被传递给AuthenticationMananger用于认证
|
||
3. 如果认证失败，那么
|
||
1. SecurityContextHolder将会被清空
|
||
2. RememberMeServices.loginFail方法将会被调用，如果remeberMe没有被调用，那么将不会执行任何操作
|
||
3. AuthenticationFailureHandler将会被调用
|
||
4. 如果认证成功：
|
||
1. 将会通知SessionAuthenticaitonStrategy将会被提示有一个新的登录
|
||
2. Authentication将会被设置到SecurityContextHolder中。如果想要在多个请求之前保存context，需要手动调用`SecurityContextRepository#saveContext`方法，调用后，SecurityContext可以在后续的请求中自动被设置
|
||
3. 调用RememberMeServices.loginSuccess方法，如果没有设置rememberMe，那么不会执行任何操作
|
||
4. ApplicationEventPublisher将会发不InteractiveAuthenticationSuccessEvent事件
|
||
5. AuthenticationSuccessHandler将会被调用
|
||
|
||
## Username/Password Authentication
|
||
认证用户时最广泛使用的认证方式为用户名/密码认证。Spring Security对基于用户名和密码的认证提供了全面的支持。
|
||
|
||
可以通过如下方式来配置用户名和密码认证：
|
||
|
||
```java
|
||
@Configuration
|
||
@EnableWebSecurity
|
||
public class SecurityConfig {
|
||
|
||
@Bean
|
||
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
|
||
http
|
||
.authorizeHttpRequests((authorize) -> authorize
|
||
.anyRequest().authenticated()
|
||
)
|
||
.httpBasic(Customizer.withDefaults())
|
||
.formLogin(Customizer.withDefaults());
|
||
|
||
return http.build();
|
||
}
|
||
|
||
@Bean
|
||
public UserDetailsService userDetailsService() {
|
||
UserDetails userDetails = User.withDefaultPasswordEncoder()
|
||
.username("user")
|
||
.password("password")
|
||
.roles("USER")
|
||
.build();
|
||
|
||
return new InMemoryUserDetailsManager(userDetails);
|
||
}
|
||
|
||
}
|
||
```
|
||
上述示例向SecurityFilterChain中自动注册了InMemoryUserDetailsService，并且向默认的AuthenticationManager中注册了DaoUserAuthenticationProvider，并且启用了FormLogin和HttpBasic的认证。
|
||
|
||
### 发布AuthenticationManager bean
|
||
当想要自定义认证过程时，可以将AuthenticationManager发布为bean对象，示例如下：
|
||
|
||
```java
|
||
@Configuration
|
||
@EnableWebSecurity
|
||
public class SecurityConfig {
|
||
|
||
@Bean
|
||
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
|
||
http
|
||
.authorizeHttpRequests((authorize) -> authorize
|
||
.requestMatchers("/login").permitAll()
|
||
.anyRequest().authenticated()
|
||
);
|
||
|
||
return http.build();
|
||
}
|
||
|
||
@Bean
|
||
public AuthenticationManager authenticationManager(
|
||
UserDetailsService userDetailsService,
|
||
PasswordEncoder passwordEncoder) {
|
||
DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider();
|
||
authenticationProvider.setUserDetailsService(userDetailsService);
|
||
authenticationProvider.setPasswordEncoder(passwordEncoder);
|
||
|
||
return new ProviderManager(authenticationProvider);
|
||
}
|
||
|
||
@Bean
|
||
public UserDetailsService userDetailsService() {
|
||
UserDetails userDetails = User.withDefaultPasswordEncoder()
|
||
.username("user")
|
||
.password("password")
|
||
.roles("USER")
|
||
.build();
|
||
|
||
return new InMemoryUserDetailsManager(userDetails);
|
||
}
|
||
|
||
@Bean
|
||
public PasswordEncoder passwordEncoder() {
|
||
return PasswordEncoderFactories.createDelegatingPasswordEncoder();
|
||
}
|
||
|
||
}
|
||
```
|
||
> 在上述示例中，没有指定formLogin或是httpBasic来执行身份认证，并且针对login请求，其权限校验为permitAll，故而login请求的实际身份认证工作由自定义的loginController来执行
|
||
|
||
|
||
|
||
当添加了上述Configuration类后，可以指定自定义的Controller类：
|
||
```java
|
||
@RestController
|
||
public class LoginController {
|
||
|
||
private final AuthenticationManager authenticationManager;
|
||
|
||
public LoginController(AuthenticationManager authenticationManager) {
|
||
this.authenticationManager = authenticationManager;
|
||
}
|
||
|
||
@PostMapping("/login")
|
||
public ResponseEntity<Void> login(@RequestBody LoginRequest loginRequest) {
|
||
Authentication authenticationRequest =
|
||
UsernamePasswordAuthenticationToken.unauthenticated(loginRequest.username(), loginRequest.password());
|
||
Authentication authenticationResponse =
|
||
this.authenticationManager.authenticate(authenticationRequest);
|
||
// ...
|
||
}
|
||
|
||
public record LoginRequest(String username, String password) {
|
||
}
|
||
|
||
}
|
||
```
|
||
|
||
### 自定义AuthenticationManager
|
||
默认情况下，SpringSecurity会在内部构建一个AuthenticationManager，该AuthenticationManager由DaoAuthenticationProvider组成，用于对username/password进行认证。
|
||
|
||
为了实现AuthenticationMananger的自定义，可以发布一个AuthenticationManager bean对象，spring security会使用发布的bean对象。
|
||
|
||
```java
|
||
@Configuration
|
||
@EnableWebSecurity
|
||
public class SecurityConfig {
|
||
|
||
@Bean
|
||
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
|
||
http
|
||
.authorizeHttpRequests((authorize) -> authorize
|
||
.requestMatchers("/login").permitAll()
|
||
.anyRequest().authenticated()
|
||
)
|
||
.httpBasic(Customizer.withDefaults())
|
||
.formLogin(Customizer.withDefaults());
|
||
|
||
return http.build();
|
||
}
|
||
|
||
@Bean
|
||
public AuthenticationManager authenticationManager(
|
||
UserDetailsService userDetailsService,
|
||
PasswordEncoder passwordEncoder) {
|
||
DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider();
|
||
authenticationProvider.setUserDetailsService(userDetailsService);
|
||
authenticationProvider.setPasswordEncoder(passwordEncoder);
|
||
|
||
ProviderManager providerManager = new ProviderManager(authenticationProvider);
|
||
providerManager.setEraseCredentialsAfterAuthentication(false);
|
||
// provider为最常用的AuthenticationManager的实现类
|
||
return providerManager;
|
||
}
|
||
|
||
@Bean
|
||
public UserDetailsService userDetailsService() {
|
||
UserDetails userDetails = User.withDefaultPasswordEncoder()
|
||
.username("user")
|
||
.password("password")
|
||
.roles("USER")
|
||
.build();
|
||
|
||
return new InMemoryUserDetailsManager(userDetails);
|
||
}
|
||
|
||
@Bean
|
||
public PasswordEncoder passwordEncoder() {
|
||
return PasswordEncoderFactories.createDelegatingPasswordEncoder();
|
||
}
|
||
|
||
}
|
||
```
|
||
除了发布自定义的AuthenticaitonMananger之外，还可以通过修改AuthenticationManagerBuilder bean对象来实现。
|
||
|
||
AuthenticationManagerBuilder被发布为bean对象，并且用于构建Spring Security的全局AuthenticationManager，可以按如下方式来自定义：
|
||
```java
|
||
@Configuration
|
||
@EnableWebSecurity
|
||
public class SecurityConfig {
|
||
|
||
@Bean
|
||
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
|
||
// ...
|
||
return http.build();
|
||
}
|
||
|
||
@Bean
|
||
public UserDetailsService userDetailsService() {
|
||
// Return a UserDetailsService that caches users
|
||
// ...
|
||
}
|
||
|
||
@Autowired
|
||
public void configure(AuthenticationManagerBuilder builder) {
|
||
builder.eraseCredentials(false);
|
||
}
|
||
|
||
}
|
||
```
|
||
|
||
如果想要自定义登录页，可以通过如下方式：
|
||
```java
|
||
public SecurityFilterChain filterChain(HttpSecurity http) {
|
||
http
|
||
.formLogin(form -> form
|
||
.loginPage("/login")
|
||
.permitAll()
|
||
);
|
||
// ...
|
||
}
|
||
```
|
||
|
||
并且在使用spring mvc时，需要将/login和页面模板映射：
|
||
```java
|
||
@Controller
|
||
class LoginController {
|
||
@GetMapping("/login")
|
||
String login() {
|
||
return "login";
|
||
}
|
||
}
|
||
```
|
||
|
||
> 上述permitAll方法确保了所有用户对loginUrl，loginProcessingUrl，failureUrl都拥有访问权限。
|
||
|
||
### 从请求中读取Username/Password
|
||
Spring Security提供如下方式来从请求中读取Username和password：
|
||
- Form
|
||
- Basic
|
||
- Digest
|
||
|
||
#### Form
|
||
在http用户名和密码被作为http form的形式（x-www-form-urlencoded）被传递时，Spring Security支持获取form形式的username和password。
|
||
|
||
默认情况下，Spring Security form login被开启，但是如果在应用手动配置了SecurityFilterChain，那么必须显式调用`formLogin`来指定。
|
||
|
||
```java
|
||
public SecurityFilterChain filterChain(HttpSecurity http) {
|
||
http
|
||
.formLogin(withDefaults());
|
||
// ...
|
||
}
|
||
```
|
||
|
||
#### 非/login请求时，UsernamePassword并不执行认证校验逻辑
|
||
> 当未认证用户访问受保护资源时，AuthorizationFilter会抛出AccessDenied异常，导致重定向到登录页面。
|
||
>
|
||
> UsernamePasswordAuthenticationFilter当请求url并不为/login时，并不执行认证逻辑，而是交由后续AuthorizationFilter来校验当前用户是否由访问资源的权限。
|
||
>
|
||
> UsernamePasswordAuthenticationFilter只是在用户发送/login请求执行登录时，才通过authenticationManager来执行认证逻辑。
|
||
|
||
#### HttpBasic
|
||
在使用httpBasic时，如果未经认证的用户请求受保护资源，会返回`WWW-Authenticate`的header，此时客户端应该在下次提交时在请求中添加用户名和密码。
|
||
|
||
在使用httpBasic时，应该在请求的`Authorization`header中添加username和password的内容，形式如下：
|
||
```http
|
||
Authorization: Basic <credentials>
|
||
```
|
||
其中`<credentials>`应该通过base64进行加密
|
||
|
||
#### Digest
|
||
目前应用中不应使用Digest。
|
||
|
||
### password storage
|
||
|
||
#### in-memory authentication
|
||
`InMemoryUserDetailsManager`实现了`UserDetailsService`，其将用户名和密码存储在内存中，并且提供了基于username和password的认证。
|
||
|
||
使用实例如下所示：
|
||
```java
|
||
@Bean
|
||
public UserDetailsService users() {
|
||
UserDetails user = User.builder()
|
||
.username("user")
|
||
.password("{bcrypt}$2a$10$GRLdNijSQMUvl/au9ofL.eDwmoohzzS7.rmNSJZ.0FxO/BTk76klW")
|
||
.roles("USER")
|
||
.build();
|
||
UserDetails admin = User.builder()
|
||
.username("admin")
|
||
.password("{bcrypt}$2a$10$GRLdNijSQMUvl/au9ofL.eDwmoohzzS7.rmNSJZ.0FxO/BTk76klW")
|
||
.roles("USER", "ADMIN")
|
||
.build();
|
||
return new InMemoryUserDetailsManager(user, admin);
|
||
}
|
||
```
|
||
在上述示例中，需要手动对密码进行散列和编码处理，可以通过`User.withDefaultPasswordEncoder`来自动对传入密码进行编码处理：
|
||
```java
|
||
@Bean
|
||
public UserDetailsService users() {
|
||
// The builder will ensure the passwords are encoded before saving in memory
|
||
UserBuilder users = User.withDefaultPasswordEncoder();
|
||
UserDetails user = users
|
||
.username("user")
|
||
.password("password")
|
||
.roles("USER")
|
||
.build();
|
||
UserDetails admin = users
|
||
.username("admin")
|
||
.password("password")
|
||
.roles("USER", "ADMIN")
|
||
.build();
|
||
return new InMemoryUserDetailsManager(user, admin);
|
||
}
|
||
```
|
||
#### jdbc authentication
|
||
`JdbcDaoImpl`实现了`UserDetailsService`，支持基于用户名和密码的认证，并且将密码存储在数据库中。
|
||
|
||
#### UserDetails
|
||
`UserDetails`由`UserDetailsService`返回，`DaoAuthenticationProvider`针对UserDetails及逆行校验，并且返回`Authentication`。Authentication是基于UserDetails进行构建的。
|
||
|
||
#### UserDetailsService
|
||
DaoAuthenticationProvider通过UserDetailsService来获取UserDetails信息，UserDetails信息中包含用户名、密码和用户其他信息。
|
||
|
||
可以通过自定义UserDetailsService的bean对象来自定义UserDetails的获取逻辑：
|
||
```java
|
||
@Bean
|
||
CustomUserDetailsService customUserDetailsService() {
|
||
return new CustomUserDetailsService();
|
||
}
|
||
```
|
||
|
||
### RememberMe
|
||
rememberMe要求在多个session之间，应用能够记住用户的身份。其通常是由cookie实现的，如果指定cookie在后续请求中被检测到，那么会进行自动登录。
|
||
|
||
Spring Security提供了两种Remember Me实现，一种是基于hash来保存token，另一种则是通过数据库来保存token。
|
||
|
||
#### hash based token
|
||
该方案通过hash来实现有效的rememberMe策略，在认证成功后，如下cookie会被发送给客户端：
|
||
```http
|
||
base64(username + ":" + expirationTime + ":" + algorithmName + ":"
|
||
+algorithmHex(username + ":" + expirationTime + ":" password + ":" + key))
|
||
|
||
username: As identifiable to the UserDetailsService
|
||
password: That matches the one in the retrieved UserDetails
|
||
expirationTime: The date and time when the remember-me token expires, expressed in milliseconds
|
||
key: A private key to prevent modification of the remember-me token
|
||
algorithmName: The algorithm used to generate and to verify the remember-me token signature
|
||
```
|
||
其中，第四部分通过（username，expirationTime，password，key），以algorithmName算法生成。
|
||
|
||
> 当该cookie重新被发送到服务端时，服务端会取出cookie的前三部分，并通过UserDetailService查询出password（该password为获取的UserDetails中的password，为编码后的密码），按照cookie中指定的算法，结合存储在服务端的private key重新计算出第四部分，并且将计算结果和第四部分进行比较。
|
||
>
|
||
> 该算法可以保证cookie并没有被篡改，因为password和private key都存储在服务端，如果手动修改username或是过期时间，那么都会导致服务端计算的第四部分结果不匹配。
|
||
|
||
但是，使用该hash-based方法时，存在安全隐患，因为所有捕获到该token的agent都可以使用该token访问用户资源，直到token过期。
|
||
|
||
在用户意识到token已经被泄露时，可以通过修改密码来使该token无效，因为修改密码后第四部分的计算结果会发生变化，导致旧token失效。
|
||
|
||
如果想要开启rememberMe，可以通过如下方式开启：
|
||
```java
|
||
http
|
||
.authorizeHttpRequests(authorize -> {
|
||
authorize.requestMatchers("/login").permitAll()
|
||
.anyRequest().authenticated();
|
||
})
|
||
.formLogin(Customizer.withDefaults())
|
||
.httpBasic(Customizer.withDefaults())
|
||
.rememberMe(Customizer.withDefaults());
|
||
return http.build();
|
||
```
|
||
|
||
#### 将token持久化到数据库中
|
||
为了在多次session之间记住用户的身份信息，可以通过将token存储到数据库中，从而记住用户的身份。
|
||
|
||
#### RememberMe的接口及其实现
|
||
remember-me将会由`UsernamePasswordAuthenticationFilter`来使用，与rememberMe相关的hook位于`RememberMeServices`接口中，并且将会在适当的时机被调用。如下展示了rememberMe相关的接口定义：
|
||
```java
|
||
Authentication autoLogin(HttpServletRequest request, HttpServletResponse response);
|
||
|
||
void loginFail(HttpServletRequest request, HttpServletResponse response);
|
||
|
||
void loginSuccess(HttpServletRequest request, HttpServletResponse response,
|
||
Authentication successfulAuthentication);
|
||
```
|
||
`AbstractAuthenticationProcessingFilter`只会调用loginSuccess或loginFail方法；而`autoLogin`方法将会由`RememberMeAuthenticationFilter`进行调用，当`SecurityContextHolder`不包含`Authentication`对象时，就会调用autoLogin方法。
|
||
|
||
#### TokenBasedRememberMeService
|
||
TokenBasedRemeberMeService支持上述基于hash的rememberMe方法。`TokenBasedRememberMeServices`会生成`RememberMeAuthenticationToken`，该token将会由`RememberMeAuthenticationProvider`进行验证。
|
||
|
||
为了`TokenBasedRememberMeServices`生成的token必须能被`RememberMeAuthenticationToken`正确的校验，必须相同的`key`必须能够在两者之间进行共享。
|
||
|
||
默认情况下，TokenBasedRememberMeService使用`SHA-256`来对token进行编码。如果想要针对`TokenBasedRememberMeServices`进行自定义，可以发布自己的bean：
|
||
```java
|
||
@Bean
|
||
SecurityFilterChain securityFilterChain(HttpSecurity http, RememberMeServices rememberMeServices) throws Exception {
|
||
http
|
||
.authorizeHttpRequests((authorize) -> authorize
|
||
.anyRequest().authenticated()
|
||
)
|
||
.rememberMe((remember) -> remember
|
||
.rememberMeServices(rememberMeServices)
|
||
);
|
||
return http.build();
|
||
}
|
||
|
||
@Bean
|
||
RememberMeServices rememberMeServices(UserDetailsService userDetailsService) {
|
||
RememberMeTokenAlgorithm encodingAlgorithm = RememberMeTokenAlgorithm.SHA256;
|
||
TokenBasedRememberMeServices rememberMe = new TokenBasedRememberMeServices(myKey, userDetailsService, encodingAlgorithm);
|
||
// 修改编码算法
|
||
rememberMe.setMatchingAlgorithm(RememberMeTokenAlgorithm.MD5);
|
||
return rememberMe;
|
||
}
|
||
```
|
||
|
||
为了启用rememberMe，需要在应用上下文中包含如下bean：
|
||
```java
|
||
@Bean
|
||
RememberMeAuthenticationFilter rememberMeFilter() {
|
||
RememberMeAuthenticationFilter rememberMeFilter = new RememberMeAuthenticationFilter();
|
||
rememberMeFilter.setRememberMeServices(rememberMeServices());
|
||
rememberMeFilter.setAuthenticationManager(theAuthenticationManager);
|
||
return rememberMeFilter;
|
||
}
|
||
|
||
@Bean
|
||
TokenBasedRememberMeServices rememberMeServices() {
|
||
TokenBasedRememberMeServices rememberMeServices = new TokenBasedRememberMeServices();
|
||
rememberMeServices.setUserDetailsService(myUserDetailsService);
|
||
rememberMeServices.setKey("springRocks");
|
||
return rememberMeServices;
|
||
}
|
||
|
||
@Bean
|
||
RememberMeAuthenticationProvider rememberMeAuthenticationProvider() {
|
||
RememberMeAuthenticationProvider rememberMeAuthenticationProvider = new RememberMeAuthenticationProvider();
|
||
rememberMeAuthenticationProvider.setKey("springRocks");
|
||
return rememberMeAuthenticationProvider;
|
||
}
|
||
```
|
||
## 匿名身份认证
|
||
Spring Security中，采用了`deny-by-default`策略，用以适配如下场景：除少数资源外（如homepage、login页面等），访问其他所有的资源都需要进行身份认证。
|
||
|
||
Spring Security提供了匿名身份认证，对于“匿名身份认证”的用户，其实际和未经认证的用户没有任何区别。匿名认证只是为配置访问控制属性提供了更加便捷的方式，在匿名认证时，即使当前`SecurityContextHolder`中存在`anonymous authentication`对象，在调用一些servlet api例如`getCallerPrincipal`方法时，方法仍然会返回null。
|
||
|
||
在使用anonymous authentication时，Spring Security的SecurityContextHolder一定含有Authentication对象，即使用户未经认证，Authentication对象也不可能为空。
|
||
|
||
### 匿名认证配置
|
||
匿名认证在Spring Security中是默认被提供的，可以对其进行自定义或者关闭。
|
||
|
||
为了提供匿名认证特性，需要存在如下三个类：`AnonymousAuthenticationToken`、`AnonymousAuthenticationProvider`、`AnonymousAuthenticationFilter`。
|
||
- `AnonymousAuthenticationToken`：该类是`Authentication`的实现类，并且存储了该匿名实体所拥有的权限`GrantedAuthority`
|
||
- `AnonymousAuthenticationProvider`：该类被整合到`ProviderManager`的provider链中，故而`AnonymousAuthenticationToken`可以被支持进行处理
|
||
- `AnonymousAuthenticationFilter`：该filter被嵌入到常规的认证机制之后，如果在执行到该filter时，当前SecurityContextHolder中不存在Authentication，那么其会自动将`AnonymousAuthenticationToken`加入到SecurityContextHolder中。
|
||
|
||
定义filter和provider的方式如下所示，filter和provider共享相同的key，故而filter创建的token可以被provider接收：
|
||
```java
|
||
<bean id="anonymousAuthFilter"
|
||
class="org.springframework.security.web.authentication.AnonymousAuthenticationFilter">
|
||
<property name="key" value="foobar"/>
|
||
<property name="userAttribute" value="anonymousUser,ROLE_ANONYMOUS"/>
|
||
</bean>
|
||
|
||
<bean id="anonymousAuthenticationProvider"
|
||
class="org.springframework.security.authentication.AnonymousAuthenticationProvider">
|
||
<property name="key" value="foobar"/>
|
||
</bean>
|
||
```
|
||
|
||
`userAttribute`属性值，其格式为`usernameInTheAuthenticationToken,grantedAuthority[,grantedAuthority]`。
|
||
|
||
|
||
## 处理logout
|
||
如果当前项目的类路径中包含`spring-boot-starter-security`依赖，那么spring security会自动加入logout支持，针对`GET`和`POST`的`/logout`请求都会响应。
|
||
|
||
当通过get方式请求/logout时，spring security将展示一个登出页面。但如果csrf保护被关闭，那么不会展示登出确认页面，而是直接关闭。
|
||
|
||
当请求/logout时，将通过一系列logoutHandler来实现如下逻辑：
|
||
1. 将http session标记为失效（SecurityContextLogoutHandler）
|
||
2. 清空SecurityContextHolderStrategy (SecurityContextLogoutHandler)
|
||
3. 清空SecurityContextRepository(SecurityContextLogoutHandler)
|
||
4. 清空所有rememberMe authentication（TokenRememberMeServices / PersistentTokenRememberMeServices）
|
||
5. 清空任何csrf token (LogoutSuccessEventPublishingLogoutHandler)
|
||
6. 发送LogoutSuccessEvent（LogoutSuccessEventPublishingLogoutHandler）
|
||
|
||
### 自定义登出url
|
||
在filter chain中，logoutFilter位于AuthorizationFilter之前，故而没有必要显式的对/logout url执行permit操作（因为尚未执行到AuthorizationFilter之前，就会通过logoutFilter执行登出操作）。
|
||
|
||
但是，对于自定义的登出端口（默认情况下，logooutFilter只对/logout的请求进行处理），若url不为/logout，那么需要调用`permitAll`来让自定义登出端口可访问。
|
||
|
||
如果只是要修改spring security登出的url，可以通过如下方式进行修改，且不需要其他任何修改，其单单只是改变了logoutFilter匹配的url：
|
||
```java
|
||
http
|
||
.logout((logout) -> logout.logoutUrl("/my/logout/uri"))
|
||
```
|
||
|
||
但是，如果自定义了logout success endpoint（通过spring mvc建立的controller endpoint），那么需要为自定义的logout endpoint执行permit操作来允许用户访问。因为只有当spring security中的操作都完成后，才会指定自定义的endpoint操作。
|
||
|
||
可以通过如下方式为自定义的登出endpoint进行授权：
|
||
```java
|
||
http
|
||
.authorizeHttpRequests((authorize) -> authorize
|
||
.requestMatchers("/my/success/endpoint").permitAll()
|
||
// ...
|
||
)
|
||
.logout((logout) -> logout.logoutSuccessUrl("/my/success/endpoint"))
|
||
```
|
||
> logoutSuccessUrl为logout操作执行成功后，重定向到的url，该值默认为`/login?logout`。
|
||
>
|
||
> logoutUrl则是触发logout操作的url。
|
||
|
||
|
||
|
||
|
||
|
||
|
||
|
||
|
||
|
||
|