🚩 A demo of springSecurity,学习springsecurity时的小demo
- 功能性需求:否
- web开发中安全第一位 (过滤器拦截器)
- 在设计之初就要考虑安全
- 针对spring项目的安全框架,无缝衔接springboot
- SringSecurity、Shiro:很相似除了类名和名字不一样
- 主要功能:认证和授权
- Aop横向切入**
-
身份验证是关于验证您的凭据,如用户名/用户ID和密码,以验证您的身份。
-
身份验证通常通过用户名和密码完成,有时与身份验证因素结合使用。
- 授权发生在系统成功验证您的身份后,最终会授予您访问资源(如信息,文件,数据库,资金,位置,几乎任何内容)的完全权限。
- WebSecurityConfigurerAdapter:自定义Security策略,springconfig配置类继承了该类(适配器模式)
- HttpSecurity:自定义授权策略(建造者模式)
- AuthenticationManagerBuilder:自定义认证策略(建造者模式)
- @EnableWebSecurity:开启WebSecurity模式 @EnableXXXX开启某个功能
- 创建springsecurity项目(创建时就可导入Themeleleaf)
- 关闭Themeleleaf模板引擎缓存
- 导入静态资源(一些前端测试界面,安利一下semantic-ui这个前端框架,layui也不错)
- 创建config和Controller文件夹,编辑Controller测试环境是否ok
- pom文件中startsecurity,编写一个springsecurity配置类
1.在SecurityConfig类上加入注解 2.该类继承WebSecurityConfigurerAdapter 3.重写configure(HttpSecurity http)方法 定制授权规则 4.重写configure(AuthenticationManagerBuilder auth)方法 定制认证规则
1.授权:
- 用户界面访问授权
- 登录页面的定制及登录时传递的参数定制(可修改默认登录界面)
- 注销功能,注销后可跳转到指定界面。如果注销失败则关闭csrf
- 记住我功能,注意前端传入的参数名
2.认证:(以从内存中获取为例,后面用了数据库再加上)
- 用户、密码、角色
- 必须开启加密才可以登录
3.Themeleleaf整合springsecurity
- pom导入 thymeleaf-security
- 导入命名空间
- 未登录时显示登录按钮,登录成功显示用户名和角色信息及注销按钮
- 角色功能块认证,不同权限显示不同的功能块
4.其它
- sec标签不提示问题
- springboot版本使用2.0.x(高版本无法适配)