分类：springsecurity

2021
01-21

SpringSecurity+JWT实现前后端分离的使用详解

创建一个配置类SecurityConfig继承WebSecurityConfigurerAdapterpackagetop.ryzeyang.demo.common.config;importorg.springframework.context.annotation.Bean;importorg.springframework.security.access.hierarchicalroles.RoleHierarchy;importorg.springframework.security.access.hierarchicalroles.RoleHierarchyImpl;importorg.springframework.security.authentication.AuthenticationManager;importorg.springfr... 继续阅读 >

2020
10-15

一篇文章带你搞定 springsecurity基于数据库的认证(springsecurity整合mybatis)

一、前期配置1.加入依赖<dependency><groupId>com.alibaba</groupId><artifactId>druid-spring-boot-starter</artifactId><version>1.1.10</version></dependency><dependency><groupId>mysql</groupId><artifactId>mysql-connector-java</artifactId><scope>runtime</scope><version>5.1.27</version></dependency>这里选定的mysql-connector-java连接版本是5.1.27，... 继续阅读 >

2020
10-10

SpringBoot基于SpringSecurity表单登录和权限验证的示例

一、简介上篇介绍了一个自己做的管理系统，最近空闲的时间自己在继续做，把之前登录时候自定义的拦截器过滤器换成了基于SpringSecurity来做，其中遇到了很多坑，总结下，大家有遇到类似问题的话就当是为大家闭坑吧。二、项目实现功能和成果展示首先来看下登录界面：这是我输入的一个正确的信息，点击登录后SpringSecurity会根据你输入的用户名和密码去验证是否正确，如果正确的话就去你定义的页面，我这里定义的是查询教师信息页面... 继续阅读 >

2020
10-10

SpringBoot 配合 SpringSecurity 实现自动登录功能的代码

自动登录是我们在软件开发时一个非常常见的功能，例如我们登录QQ邮箱：很多网站我们在登录的时候都会看到类似的选项，毕竟总让用户输入用户名密码是一件很麻烦的事。自动登录功能就是，用户在登录成功后，在某一段时间内，如果用户关闭了浏览器并重新打开，或者服务器重启了，都不需要用户重新登录了，用户依然可以直接访问接口数据作为一个常见的功能，我们的SpringSecurity肯定也提供了相应的支持，本文我们就来看下Spring... 继续阅读 >

2020
10-10

SpringBoot+SpringSecurity 不拦截静态资源的实现

一、问题描述在SpringBoot中加入SpringSecurity中之后，静态资源总是被过滤，导致界面很难看：目录结构：二、问题解决正常不拦截资源，我查阅资料，基本都是重新config方法即可：packageorg.yolo.securitylogin.config;importorg.springframework.context.annotation.Bean;importorg.springframework.context.annotation.Configuration;importorg.springframework.security.config.annotation.authentication.builders.A... 继续阅读 >

2020
10-09

SpringBoot--- SpringSecurity进行注销权限控制的配置方法

环境IDEA：2020.1Maven：3.5.6SpringBoot:2.0.9（与此前整合的版本2.3.3不同，版本适配问题，为配合使用降级）1、注销这里也有一个前提问题需要注意，我们登录操作都是在开启防跨域攻击的环境下进行的。毫无疑问，注销也是在这样的情况下进行的。登录时我们提交表单，采用POST方法传输，通过使用Thymeleaf在form表单添加th:action元素，Thymeleaf会自动为我们添加_csrf元素。同样注销操作也是要带有_csrf参数认证... 继续阅读 >

2020
10-08

详解springSecurity之java配置篇

一前言本篇是springSecurity知识的入门第二篇，主要内容是如何使用java配置的方式进行配置springSeciruty，然后通过一个简单的示例自定义登陆页面，覆盖原有springSecurity默认的登陆页面；学习这篇的基础是知识追寻者之前发布过的《springSecurity入门篇》二java配置2.1配置账号密码如下所示，使用@EnableWebSecurity在配置类上开启security配置功能；在配置类中定义bean名为UserDetailsService,主要是负责设置账号... 继续阅读 >

2020
10-08

浅谈spring security入门

一介绍本节给知识追寻者给大家带来的是springSecurity入门篇，主要是简述下springSecrurity的启动原理和简单的入门搭建；二核心模块介绍spring-security-core；包含核心身份验证和access-contol类和接口，远程支持和基本配置AP；spring-security-web：web,url登陆验证和访问控制；spring-security-config：支持xml或者java注解配置；当然其模块远不止这些，比如CAS,ALC,Aspects,OpenI等等，对于入门我们了解核心即... 继续阅读 >

2020
10-08

解析SpringSecurity+JWT认证流程实现

纸上得来终觉浅，觉知此事要躬行。楔子本文适合：对SpringSecurity有一点了解或者跑过简单demo但是对整体运行流程不明白的同学，对SpringSecurity有兴趣的也可以当作你们的入门教程，示例代码中也有很多注释。本文代码：码云地址 GitHub地址大家在做系统的时候，一般做的第一个模块就是认证与授权模块，因为这是一个系统的入口，也是一个系统最重要最基础的一环，在认证与授权服务设计搭建好了之后，剩下的模块才得以安全访... 继续阅读 >

2020
10-06

SpringSecurity Jwt Token 自动刷新的实现

功能需求        最近项目中有这么一个功能，用户登录系统后，需要给用户颁发一个token,后续访问系统的请求都需要带上这个token,如果请求没有带上这个token或者token过期了，那么禁止访问系统。如果用户一直访问系统，那么还需要自动延长token的过期时间。功能分析1、token的生成使用现在比较流行的jwt来生成。2、token的自动延长要实现token的自动延长，系统给用户颁... 继续阅读 >

2020
10-04

Springboot+SpringSecurity+JWT实现用户登录和权限认证示例

如今，互联网项目对于安全的要求越来越严格，这就是对后端开发提出了更多的要求，目前比较成熟的几种大家比较熟悉的模式，像RBAC基于角色权限的验证，shiro框架专门用于处理权限方面的，另一个比较流行的后端框架是Spring-Security，该框架提供了一整套比较成熟，也很完整的机制用于处理各类场景下的可以基于权限，资源路径，以及授权方面的解决方案，部分模块支持定制化，而且在和oauth2.0进行了很好的无缝连接，在移动互联网的... 继续阅读 >

2020
09-27

SpringBoot集成SpringSecurity和JWT做登陆鉴权的实现

废话目前流行的前后端分离让Java程序员可以更加专注的做好后台业务逻辑的功能实现，提供如返回Json格式的数据接口就可以。SpringBoot的易用性和对其他框架的高度集成，用来快速开发一个小型应用是最佳的选择。一套前后端分离的后台项目，刚开始就要面对的就是登陆和授权的问题。这里提供一套方案供大家参考。主要看点：登陆后获取token，根据token来请求资源根据用户角色来确定对资源的访问权限统一异常处理返回标准的Json... 继续阅读 >

2020
09-24

springsecurity轻松实现角色权限的示例代码

问题：如何在springboot项目中使用springsecurity去实现角色权限管理呢？本文将尽可能简单的一步步实现对接口的角色权限管理。项目框架：sql:user表：CREATETABLE`user`(`Id`intNOTNULLAUTO_INCREMENT,`UserName`varchar(255)NOTNULL,`CreatedDT`datetimeDEFAULTNULL,`Age`intDEFAULTNULL,`Gender`intDEFAULTNULL,`Password`varchar(255)NOTNULL,PRIMARYKEY(`Id`))ENGINE=InnoDBAUTO_INCREMENT=2... 继续阅读 >

2020
09-24

SpringSecurity rememberme功能实现过程解析

记住我功能原理分析还记得前面咱们分析认证流程时，提到的记住我功能吗？现在继续跟踪找到AbstractRememberMeServices对象的loginSuccess方法：再点进去上面if判断中的rememberMeRequested方法，还在当前类中：如果上面方法返回true，就表示页面勾选了记住我选项了。继续顺着调用的方法找到PersistentTokenBasedRememberMeServices的onLoginSuccess方法：注意name和value属性的值不要写错哦！先测试一下，认证通过后，关掉浏览器，... 继续阅读 >

2020
09-24

SpringSecurity权限控制实现原理解析

菜单控制：可以用来判断这个用户是不是有这些角色，没有的话就不展示数据控制：由于数据都是从后端查的，在后端控制权限就可以了<!--开启权限控制注解支持jsr250-annotations="enabled"表示支持jsr250-api的注解，需要jsr250-api的jar包pre-post-annotations="enabled"表示支持spring表达式注解secured-annotations="enabled"这才是SpringSecurity提供的注解--><security:global-method-securityjsr250-anno... 继续阅读 >

2020
09-24

SpringSecurity的防Csrf攻击实现代码解析

CSRF（Cross-siterequestforgery）跨站请求伪造，也被称为OneClickAttack或者SessionRiding，通常缩写为CSRF或XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，XSS利用站点内的信任用户，而CSRF则通过伪装成受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。CSRF是一种依赖web浏览器的... 继续阅读 >