个性化用户认证流程1
前面使用spring security默认的认证流程。处理了自定义的用户数据，密码加密；
但是在实际开发中，肯定是要使用自己开发的页面、登录成功失败的业务处理等。
本节内容
* 自定义登录页
* 自定义登录成功处理
* 自定义登录失败处理
自定义登录页面
在cn.mrcode.imooc.springsecurity.securitybrowser.BrowserSecurityConfig中修改配置
http
// 定义表单登录 - 身份认证的方式
.formLogin()
.loginPage("/imocc-signIn.html")
.and()
.authorizeRequests()
// 放行这个路径
.antMatchers("/imocc-signIn.html").permitAll()
如果不对该静态文件放行的话，将会无限跳转，造成错误：localhost 将您重定向的次数过多。
对于html存放资源文件夹下的哪一个目录，这个有点懵逼：
最后放在static下面才能访问到
|- resources
|-static
|-imocc-signIn.html
html内容如下
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>标准登录页面</title>
</head>
<body>
<h2>标准登录页面</h2>
<h3>表单登录</h3>
<form action="/authentication/form" method="post">
| 用户名：||
| :-----: | :-----: |
| 用户名： | |
| 密码： | |
| 登录 |
</form>
</body>
</html>
注意这里的路径：acrion="/authentication/form";路径是自定义的，
而UsernamePasswordAuthenticationFilter默认是处理/login路径的登录请求
public UsernamePasswordAuthenticationFilter() {
super(new AntPathRequestMatcher("/login", "POST"));
}
.formLogin()
.loginPage("/imocc-signIn.html")
// 处理登录请求路径
.loginProcessingUrl("/authentication/form")
.and()
.authorizeRequests()
.antMatchers("/imocc-signIn.html").permitAll()
我的天，以后一定要注意看方法名好吗？英文不好就是这么容易被看懵逼。不知道怎么弄
再次测试，没有出现和视频中一样的出现_csrf的错误情况，而是又跳回来登录页面了；
但是把scrf关闭之后，就正常了;最后这个完整的配置如下
http
.formLogin()
.loginPage("/imocc-signIn.html")
.loginProcessingUrl("/authentication/form")
.and()
.authorizeRequests()
.antMatchers("/imocc-signIn.html").permitAll()
.anyRequest()
.authenticated()
.and()
.csrf().disable(); // csrf 在后面章节会讲解
这里有一个疑问的问题：
loginProcessingUrl("/authentication/form") 会认为必须是跳转到我们自己写的这个真是存在的控制器里面，
实际上这个路径对应的控制器不存在也没有关系。因为不会走。
这里看起来更像是对security默认/login路径的重命名；
这里虽然配置了自定义的路径，但是都统一跳转到了静态页面，
那么要怎么实现 根据请求来分发是返回html内容？还是返回json内容呢？
在前后分离的情况下，都用ajax来请求，肯定不能返回html咯；
处理不同类型的请求
思路是上面图中这样。那么很简单只要把登录地址换成自定义的就好了。
@Configuration
public class BrowserSecurityConfig extends WebSecurityConfigurerAdapter {
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
// 有三个configure的方法，这里使用http参数的
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.formLogin()
// .loginPage("/imocc-signIn.html")
// 更换成自定义的一个真实存在的处理器地址
.loginPage("/authentication/require")
.loginProcessingUrl("/authentication/form")
.and()
.authorizeRequests()
// 放行这个路径
.antMatchers("/imocc-signIn.html", "/authentication/require").permitAll()
.anyRequest()
.authenticated()
.and()
.csrf().disable()
;
}
}
编写处理请求的处理器
package cn.mrcode.imooc.springsecurity.securitybrowser;
import cn.mrcode.imooc.springsecurity.securitybrowser.support.SimpleResponse;
import org.apache.catalina.servlet4preview.http.HttpServletRequest;
import org.apache.commons.lang3.StringUtils;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.http.HttpStatus;
import org.springframework.security.web.DefaultRedirectStrategy;
import org.springframework.security.web.RedirectStrategy;
import org.springframework.security.web.savedrequest.HttpSessionRequestCache;
import org.springframework.security.web.savedrequest.RequestCache;
import org.springframework.security.web.savedrequest.SavedRequest;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseStatus;
import org.springframework.web.bind.annotation.RestController;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
/**
* ${desc}
* @author zhuqiang
* @version 1.0.1 2018/8/3 14:58
* @date 2018/8/3 14:58
* @since 1.0
*/
@RestController
public class BrowserSecurityController {
Logger logger = LoggerFactory.getLogger(getClass());
// 封装了引发跳转请求的工具类，看实现类应该是从session中获取的
private RequestCache requestCache = new HttpSessionRequestCache();
// spring的工具类：封装了所有跳转行为策略类
private RedirectStrategy redirectStrategy = new DefaultRedirectStrategy();
/**
* 当需要身份认证时跳转到这里
* @param request
* @param response
* @return
*/
@RequestMapping("/authentication/require")
@ResponseStatus(code = HttpStatus.UNAUTHORIZED)
public SimpleResponse requirAuthentication(HttpServletRequest request, HttpServletResponse response) throws IOException {
SavedRequest savedRequest = requestCache.getRequest(request, response);
// 如果有引发认证的请求
// spring 在跳转前应该会把信息存放在某个地方？
if (savedRequest != null) {
String targetUrl = savedRequest.getRedirectUrl();
logger.info("引发跳转的请求：" + targetUrl);
// 如果是html请求，则跳转到登录页
if (StringUtils.endsWithIgnoreCase(targetUrl, ".html")) {
redirectStrategy.sendRedirect(request, response, "/imocc-signIn.html");
}
}
// 否则都返回需要认证的json串
return new SimpleResponse("访问的服务需要身份认证，请引导用户到登录页");
}
}
SimpleResponse 类只是一个返回结果的信息类
package cn.mrcode.imooc.springsecurity.securitybrowser.support;
public class SimpleResponse {
private Object content;
public SimpleResponse(Object content) {
this.content = content;
}
public Object getContent() {
return content;
}
public void setContent(Object content) {
this.content = content;
}
}
我们的目的是写一个可重用的安全模块，需要把一些配置（比如这里的html静态页面的配置）让使用方来配置
思路是使用配置文件：
在security-demo/application.yml中；
注意： 这里我才看明白视频中被依赖的security-browser项目没有写启动类，也没有自己的application.yml配置文件；
应该就是只写一个可重用的模块
imooc:
security:
browser:
loginPage: /demo-signIn.html
该模块大概会提供20多项配置，所以封装成配置类，分为不同的功能，结构如下：
- SecurityProperties 项目提供的配置类
- BrowserProperties
- ValidateCodeProperties
- Oath2Properties
- SocialProperties
core 配置类的编写
由于这些配置类是 app 和 browser 项目公用的，写在core里面
package cn.mrcode.imooc.springsecurity.securitycore.properties;
import org.springframework.boot.context.properties.ConfigurationProperties;
/**
* ${desc}
* @author zhuqiang
* @version 1.0.1 2018/8/3 15:28
* @date 2018/8/3 15:28
* @since 1.0
*/
@ConfigurationProperties(prefix = "imooc.security")
public class SecurityProperties {
/** imooc.security.browser 路径下的配置会被映射到该配置类中 */
private BrowserProperties browser = new BrowserProperties();
public BrowserProperties getBrowser() {
return browser;
}
public void setBrowser(BrowserProperties browser) {
this.browser = browser;
}
}
package cn.mrcode.imooc.springsecurity.securitycore.properties;
public class BrowserProperties {
/** 登录页面路径 */
private String loginPage = "/imocc-signIn.html";
public String getLoginPage() {
return loginPage;
}
public void setLoginPage(String loginPage) {
this.loginPage = loginPage;
}
}
为了职责分离，单独写一个入口被扫描开启的配置类
package cn.mrcode.imooc.springsecurity.securitycore;
import cn.mrcode.imooc.springsecurity.securitycore.properties.SecurityProperties;
import org.springframework.boot.context.properties.EnableConfigurationProperties;
import org.springframework.context.annotation.Configuration;
/**
* 让SecurityProperties这个配置类生效
* EnableConfigurationProperties 的作用是标明加载哪一个类
* 这效果和直接在目标类上写上@Configuration效果一样
*/
@Configuration
@EnableConfigurationProperties(SecurityProperties.class)
public class SecurityCoreConfig {
}
使用配置类重构brower
之前写死 登录页面 相关代码处都需要更改从配置类中获取，使用 Autowired 注解可以获得SecurityProperties配置类实例
@Autowired
private SecurityProperties securityProperties;
// 别忘记了拦截放行的地方也需要更改为配置类的属性
.antMatchers("/authentication/require",
securityProperties.getBrowser().getLoginPage()).permitAll()
Java 面试宝典是大明哥全力打造的 Java 精品面试题，它是一份靠谱、强大、详细、经典的 Java 后端面试宝典。它不仅仅只是一道道面试题，而是一套完整的 Java 知识体系，一套你 Java 知识点的扫盲贴。
它的内容包括：
- 大厂真题：Java 面试宝典里面的题目都是最近几年的高频的大厂面试真题。
- 原创内容：Java 面试宝典内容全部都是大明哥原创，内容全面且通俗易懂，回答部分可以直接作为面试回答内容。
- 持续更新：一次购买，永久有效。大明哥会持续更新 3+ 年，累计更新 1000+，宝典会不断迭代更新，保证最新、最全面。
- 覆盖全面：本宝典累计更新 1000+，从 Java 入门到 Java 架构的高频面试题，实现 360° 全覆盖。
- 不止面试：内容包含面试题解析、内容详解、知识扩展，它不仅仅只是一份面试题，更是一套完整的 Java 知识体系。
- 宝典详情：https://www.yuque.com/chenssy/sike-java/xvlo920axlp7sf4k
- 宝典总览：https://www.yuque.com/chenssy/sike-java/yogsehzntzgp4ly1
- 宝典进展：https://www.yuque.com/chenssy/sike-java/en9ned7loo47z5aw
目前 Java 面试宝典累计更新 400+ 道，总字数 42w+。大明哥还在持续更新中，下图是大明哥在 2024-12 月份的更新情况：
想了解详情的小伙伴，扫描下面二维码加大明哥微信【daming091】咨询
同时，大明哥也整理一套目前市面最常见的热点面试题。微信搜[大明哥聊 Java]或扫描下方二维码关注大明哥的原创公众号[大明哥聊 Java] ，回复【面试题】 即可免费领取。
