内容简介:对于使用Java进行开发的同学来说,Spring算是一个比较热门的选择,包括现在流行的Spring Boot更是能快速上手,并让开发者更好的关注业务核心的开发,而免去了原来冗杂的配置过程。从Spring 4开始推荐使用代码进行配置,更是降低了配置的难度,远离了让人看得头大的xml配置文件。这篇文章主要想系统的介绍一下Spring Security这个框架。当需要进行一些认证授权的开发时,常用的Java安全框架主要有Apache Shiro和Spring Security。两者相比,Shiro更为轻量化,简单
Spring Security 5.1.4 RELEASE
对于使用 Java 进行开发的同学来说,Spring算是一个比较热门的选择,包括现在流行的Spring Boot更是能快速上手,并让开发者更好的关注业务核心的开发,而免去了原来冗杂的配置过程。从Spring 4开始推荐使用代码进行配置,更是降低了配置的难度,远离了让人看得头大的xml配置文件。
这篇文章主要想系统的介绍一下Spring Security这个框架。当需要进行一些认证授权的开发时,常用的Java安全框架主要有Apache Shiro和Spring Security。两者相比,Shiro更为轻量化,简单易用,而Spring Security作为Spring的亲儿子,功能更强大,和Spring项目的结合度更好,而使用的学习成本相较于Shiro会略高一些。
在讲代码之前,想先介绍一下Spring Security中的一些基本组件及服务,以便于更好理解后文的代码。基本架构的介绍,主要来自于官方文档,进行了选择性的翻译,参考的版本是 Spring Security 5.1.4 RELEASE
,感兴趣的同学也可以直接前往阅读英文原文。
1 基本架构
1.1 核心组件
从Spring Security 3.0开始,组件 spring-security-core
jar包中的内容进行了精简,不再包含任何web应用安全,LDAP或命名空间配置的代码。
SecurityContextHolder
最基本的对象,用来存储当前的安全上下文(security context),包含了当前登录的用户信息。默认使用 ThreadLocal
保存细节信息,因此这些信息对于同一个线程内容调用的方法都是可用的。当用户的请求处理完成后,框架会自动清理线程而不必用户关心。但是由于某些应用由于其对线程的使用方式,并不适合使用 ThreadLocal
,则需要根据情况,在启动前设置 SecurityContextHolder
的策略。
在 SecurityContextHolder
中保存了当前活跃用户的信息。Spring Security使用一个 Authentication
对象来表示这些信息。在程序的任何地方,都可以用以下代码来获取当前认证用户的信息。
Object principal = SecurityContextHolder.getContext().getAuthentication().getPrincipal(); if (principal instanceof UserDetails) { String username = ((UserDetails)principal).getUsername(); } else { String username = principal.toString(); }
UserDetailsService
在接口 UserDetailService
中只有一个方法,接收一个字符串返回一个 UserDetails
对象,当认证成功后, UserDetails
会被用来构造一个 Authentication
对象保存在 SecurityContextHolder
中。
UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
UserDetailsService
的实现,主要是用来加载用户信息,并向其他组件提供这些信息,并不能进行认证用户的操作,认证的操作由 AuthenticationManager
完成。
如果用户想自定义一个认证流程,则需要实现 AuthenticationProvider
接口。
GrantedAuthority
Authentication
的 getAuthorities( )
方法返回 GrantedAuthority
的对象数组。 GrantAuthority
对象一般由 UserDetailsService
加载。
总结
ScurityContextHolder
获取 SecurityContext
SecurityContext
保存了 Authentication
以及其他一些请求相关的安全信息
Authentication
表示一个认证用户信息
GrantedAuthority
表示授予用户的权限信息
UserDetails
包含了构建 Authentication
对象需要的必要信息,这些信息来自于应用的DAO或其他数据源
UserDetailsService
根据传入用户名字符串构建一个 UserDetails
对象
1.2 认证环节
一个基本的认证环节包括:
-
用户输入用户名和密码
-
系统验证用户名密码正确
-
系统获取该用户的角色、权限等信息。
以上三个步骤完成了一个认证过程,在Spring Security中,相应地完成了以下动作:
-
后端获取到用户名和密码并用之生成一个
UsernamePasswordAuthenticationToken
对象,UsernamePasswordAuthenticationToken
是Authentication
的一个实现类。 -
token被传入
AuthenticationManager
的实例中进行校验 -
认证成功后,
AuthenticationManager
会返回一个Authentication
实例,其中包括了用户所有细节信息,包括角色、权限等 -
通过调用
SecurityContextHolder.getContext().setAuthentication(…)
建立安全上下文,传入Authentication
对象
完成以上过程后,当前用户认证完成。以下代码示范了一个认证环节最基本的流程(并非SpringSecurity框架源码)
import org.springframework.security.authentication.*; import org.springframework.security.core.*; import org.springframework.security.core.authority.SimpleGrantedAuthority; import org.springframework.security.core.context.SecurityContextHolder; public class AuthenticationExample { // 0. 创建一个AuthenticationManager实例,之后用于用户校验 (具体实现在下方) private static AuthenticationManager am = new SampleAuthenticationManager(); public static void main(String[] args) throws Exception { BufferedReader in = new BufferedReader(new InputStreamReader(System.in)); // 1. 用户在界面输入用户名密码 while(true) { System.out.println("Please enter your username:"); String name = in.readLine(); System.out.println("Please enter your password:"); String password = in.readLine(); try { // 2. 用户名和密码生成一个UsernamePasswordAuthenticationToken对象 Authentication request = new UsernamePasswordAuthenticationToken(name, password); // 3. 使用AuthenticationManager实例校验token Authentication result = am.authenticate(request); // 4. 校验成功,将包含用户信息的Authentication实例加入security context SecurityContextHolder.getContext().setAuthentication(result); break; } catch(AuthenticationException e) { // 认证失败,捕获异常 System.out.println("Authentication failed: " + e.getMessage()); } } System.out.println("Successfully authenticated. Security context contains: " + SecurityContextHolder.getContext().getAuthentication()); } } // AuthenticationManager的实现 class SampleAuthenticationManager implements AuthenticationManager { static final List<GrantedAuthority> AUTHORITIES = new ArrayList<GrantedAuthority>(); static { AUTHORITIES.add(new SimpleGrantedAuthority("ROLE_USER")); } public Authentication authenticate(Authentication auth) throws AuthenticationException { //该方法内写认证通过的条件,此处demo判断条件是,用户名等于密码即认证通过 if (auth.getName().equals(auth.getCredentials())) { return new UsernamePasswordAuthenticationToken(auth.getName(), auth.getCredentials(), AUTHORITIES); } throw new BadCredentialsException("Bad Credentials"); } }
直接设置 SecurityContextHolder
Spring Security并不关心一个 Authentication
实例是如何放进 SecurityContextHolder
的,只要保证在 SecurityContextHolder
中有一个有效的 Authentication
表示一个认证的用户即可,然后 AbstractSecurityInterceptor
便可用来授权用户的操作了。因此,开发者亦可选择使用其他认证框架提供的认证信息。开发者只需要写使用一个过滤器获取来自第三方的用户信息,然后构造一个 Authentication
对象放入到 SecurityContextHolder
即可。但是如果不使用内置的认证,有些原本自动完成的事情就需要由开发者来处理了,比如需要在一开始创建HTTP session来缓存上下文。
1.3 Web应用中的认证
在处理Web应用中的认证,Spring Security中主要参与的有 ExceptionTranslationFilter
和 AuthenticationEntryPoint
,以及一个认证机制,用来调用 AuthenticationManager
完成核心的认证部分。
ExceptionTranslationFilter
是一个Spring Security的过滤器,用来检测所有抛出的Spring Security的异常,通常这些异常都由 AbstractSecurityInterceptor
抛出。 AbstractSecurityInterceptor
只负责抛出异常,而 ExceptionTranslationFilter
则负责确定如何处理异常,比如当前用户认证了但权限不够,则返回403错误码,或者当前用户还未认证,则发起一个 AuthenticationPoint
。
Authentication Mechanism
当浏览器提交用户的认证信息后,服务器需要收集这些信息,而在Spring Security中,从客户端获取认证信息的功能称为“认证机制” (authentication mechanism)。比如Basic authentication,当收集到客户端提交的认证信息后,后端就会创建一个 Authentication
对象,然后交给 AuthenticationManager
校验。
随后authentication mechanism会收到一个包含完整信息的 Authentication
对象,并认为请求合法,然后把 Authentication
放入 SecurityContextHolder
,随后原请求便会发起重试。如果 AuthenticationManager
拒绝了请求,那么认证机制便会要求客户端重试。
保存用户认证信息
一般在一个Web应用中,用户登录后,服务器会缓存用户的认证信息,用户后续的操作通过其session id进行身份认证。Spring Security框架中,保存SecurityContext的任务交给 SecurityContextPersistenceFilter
,其默认将安全上下文信息保存为HttpSessio属性。每当请求来,它都会通过 SecurityContextHolder
来获取认证信息,并在请求结束后,清除 SecurityContextHolder
。出于安全考虑,不要直接从 HttpSession
中去获取安全上下文,而应该通过 SecurityContextHolder
获取。
1.5 权限控制(授权)
Spring Security的权限控制,依赖于AOP。权限控制可以应用在方法调用上,也可用在web请求上。Spring Security中主要负责进行权限控制决定的是 AccessDecisionManager
。
Secure Objects
安全对象指一切可以加上安全配置的对象,最常见的例子是方法的调用和web请求。
每个支持的安全对象都有一个自己的拦截器,这个拦截器是 AbstractSecurityInterceptor
子类,当 AbstractSecurityInterceptor
被调用的时候, SecurityContextHolder
中会包含一个有效的 Authentication
对象,如果当前用户主体已经被认证。 AbstractSecurityInterceptor
在处理安全对象的请求时候,流程如下:
-
查看和当前请求关联的配置属性(configuration attributes)
-
将当前的安全对象、
Authentication
对象以及配置属性提交给AccessDecisionManager
,由其做一个授权的决定。 -
在调用发生的位置可选的更换
Authentication
对象 -
完成授权后,允许安全对象的调用进行。
-
当调用返回后,即刻调用
AfterInvocationManager
(如果配置了)
Configuration Attributes
配置属性用接口 ConfigAttribute
表示,可以理解为被 AbstractSecurityInterceptor
使用的具有特殊意义的字符串。 AbsractSecurityInterceptor
中配置了 SecurityMetadataSource
用来查看安全对象的配置属性。配置属性可以用来简单表示一个角色名,或者更复杂的意义,它的用处取决于 AccessDecisionManager
实现的复杂性。或者简单来说,配置属性只是表示特殊含义的,比如角色名的字符串,但是其具体如何解读,取决于 AccessDedcisionManager
的实现。举个简单得例子,当我们使用默认的 AccessDedcisionManager
的实现时,可以在一个方法或者一个url请求的注释里加入配置属性ROLE_A,这表示,只有当用户的 GrantedAuthority
匹配ROLE_A的时候,才被允许使用这个方法或调用这个请求。这里只做简单得说明,具体使用在后文中展开。
Security interceptors and the "secure object" model
下图是安全拦截器和安全对象的模型,给出了各个组件之间的关系,有个别组件在简介中没有提到,将在后文的使用说明中展开。
以上就是本文的全部内容,希望本文的内容对大家的学习或者工作能带来一定的帮助,也希望大家多多支持 码农网
猜你喜欢:本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们。
区块链技术驱动金融
阿尔文德·纳拉亚南、约什·贝努、爱德华·费尔顿、安德鲁·米勒、史蒂文·戈德费德 / 林华、王勇 / 中信出版社,中信出版集团 / 2016-8-25 / CNY 79.00
从数字货币及智能合约技术层面,解读了区块链技术在金融领域的运用。“如果你正在寻找一本在技术层面解释比特币是如何运作的,并且你有一定计算机科学和编程的基本知识,这本书应该很适合你。” 《区块链:技术驱动金融》回答了一系列关于比特币如何运用区块链技术运作的问题,并且着重讲述了各种技术功能,以及未来会形成的网络。比特币是如何运作的?它因何而与众不同?你的比特币安全吗?比特币用户如何匿名?区块链如何......一起来看看 《区块链技术驱动金融》 这本书的介绍吧!