1. 技术文章
  2. 进阶-使用Spring Security3.2搭建LDAP认证授权和Remember-me(2)

进阶-使用Spring Security3.2搭建LDAP认证授权和Remember-me(2)

由 浪尽此生 提交于 2019-12-05 04:36:44

接上 进阶-使用Spring Security3.2搭建LDAP认证授权和Remember-me(1) 

javaconfig

使用javaconfig，只需要生成两个类，就可以完成XML配置下的3个步骤。这两个类非别是：

  1. 继承于org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter的一个子类。 

  2. 继承于org.springframework.security.web.context.AbstractSecurityWebApplicationInitializer的子类。

原理如下：

SpringServletContainerInitializer实现了servlet 3中的一个规范接口javax.servlet.ServletContainerInitializer. 一旦实现了这个接口，当web container启动时，就会自动加载SpringServletContainerInitializer. 而SpringServletContainerInitializer会调用AbstractSecurityWebApplicationInitializer类。以上的步骤完成了相当于SpringSecurityFilterChain的配置。

接下来需要配置SpringSecurity，AbstractSecurityWebApplicationInitializer会为Spring指定配置文件，但这个配置文件不是XML形式 ，而是java形式。而java形式的配置则为WebSecurityConfigurerAdapter的子类。

如下面的小例子：

//注意java annotation的使用。
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    //用于配置Authentication，比如LDAP, Database连接，以及用户和角色的查询方法。
    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {}
    //用于配置URL的保护形式，和login页面。
    @Override
    public void configure(HttpSecurity http) throws Exception {}
    //用于配置类似防火墙，放行某些URL。
    @Override
    public void configure() {WebSecurity web}
}

public class SecurityWebApplicationInitializer
      extends AbstractSecurityWebApplicationInitializer {
    public SecurityWebApplicationInitializer() {
        //注册Spring的配置文件。
        super(SecurityConfig.class);
    }
}

在3.2中，WebSecurityConfigurerAdapter使用三个configure方法，用于配置authentication, authorization和web security. 我们可以声明一个WebSecurityConfigurerAdapter，也可以声明多个.下面用我们项目中的实例来讲解这些内容。

回到firstWeb项目，我们需要生成两个类。可以把这两个类放在包com.mycompany.my.security下面。

MultiHttpSecurityConfig.java

@Configuration
@EnableWebSecurity
public class MultiHttpSecurityConfig {
    
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        DefaultSpringSecurityContextSource contextSource = new DefaultSpringSecurityContextSource("ldap://127.0.0.1:389/dc=mycompany,dc=com");
        contextSource.setUserDn("cn=admin,dc=mycompany,dc=com");
        contextSource.setPassword("admin");
        contextSource.afterPropertiesSet();

        BindAuthenticator authenticator = new BindAuthenticator(contextSource);
        authenticator.setUserDnPatterns(new String[] { "uid={0},ou=people" });

        DefaultLdapAuthoritiesPopulator populator = new DefaultLdapAuthoritiesPopulator(
                contextSource, "ou=groups");
        populator.setGroupRoleAttribute("cn");
        populator.setGroupSearchFilter("uniqueMember={0}");

        AuthenticationProvider authProvider = new LdapAuthenticationProvider(
                authenticator, populator);
        auth.authenticationProvider(authProvider);
    }
    
    @Configuration
    @Order(1)
    public static class IndexSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        public void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/index.jsp").anonymous();
        }
    }
    
    @Configuration
    @Order(2)
    public static class HtmlSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        public void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/html/**")
                .authorizeRequests()
                    .antMatchers("/html/submit.jsp").hasRole("BLACK")
                    .antMatchers("/html/forbidden.html").authenticated()
                .and().formLogin()
                    .loginPage("/html/login.jsp")
                    .loginProcessingUrl("/html/login")
                    .defaultSuccessUrl("/index.jsp")
                    .permitAll()
                .and().logout().logoutUrl("/html/logout")
                .and().exceptionHandling().accessDeniedPage("/html/403.jsp");
        }

        @Override
        public void configure(WebSecurity web) {
            web.ignoring().antMatchers("/html/forbidden.html");
        }
    }
    
    @Configuration
    @Order(3)
    public static class AjaxSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        public void configure(HttpSecurity http) throws Exception {
            http
               .antMatcher("/ajax/**")
               .authorizeRequests().anyRequest().hasRole("RED")
               .and()
               .httpBasic();
        }
    }
}

SecurityWebApplicationInitializer.java

public class SecurityWebApplicationInitializer
      extends AbstractSecurityWebApplicationInitializer {

    public SecurityWebApplicationInitializer() {
        super(MultiHttpSecurityConfig.class);
    }
}

在上面的代码中，我配置了三个service config. 他们使用共同的authentication, 关于authentication的代码都在configureGlobal方法中。LDAP还是使用我之前配置的OpenLDAP.

三个service config分别的解释：

  1. IndexSecurityConfig, 配置index.jsp可以被所有人访问。看似多余，因为不声明也可以被所有的人访问。 但是这样可以对index.jsp开启所有的Filter,比如CSRFFilter。index.jsp中有Form，所以，需要开启CSRF。

        @Configuration
    @Order(1)
    public static class IndexSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        public void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/index.jsp").anonymous();
        }
    }

  2. HtmlSecurityConfig， 配置html路径下的FBA。 这里将重点讲解。讲解放到code的注释中。注意，一切/xxx开始的路径，均是指相对于context path。比如/html/login, 它真正的url应该是/context/html/login.

        @Configuration //声明这是一个SpringSecurity config
    @Order(2) //声明这个config使用的顺序。Spring会按照顺序进行匹配，一旦匹配，则越过后面。
    public static class HtmlSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        public void configure(HttpSecurity http) throws Exception {
            http.antMatcher("/html/**")  //后面的配置适用于${context}/html/下的所有路径。
                .authorizeRequests() //对下面的几个URL进行授权
                                     //${context}/html/submit.jsp只能Black role才可访问
                                     //${context}/html/forbidden.html认证过的人才可访问。
                    .antMatchers("/html/submit.jsp").hasRole("BLACK") 
                    .antMatchers("/html/forbidden.html").authenticated()
                .and().formLogin()  //配置FBA
                    .loginPage("/html/login.jsp") //指定登陆页面，如果未认证访问保护资源，
                                                  //则跳转到此页面。
                    .loginProcessingUrl("/html/login") //此为login Form提交的URL.
                                                       //类似于j_security_check
                    .defaultSuccessUrl("/index.jsp") //登陆成功以后转到哪一个页面。
                                                     //如果因为Get访问受保护资源而跳转到
                                                     //login页面，登陆成功后会转到受保护的资源
                                                     //默认登陆失败url为login page？error
                                                     //也可以通过方法指定。
                    .permitAll() //让login.jsp人人可访问，否则会导致递归跳转。
                .and().logout().logoutUrl("/html/logout") //配置logout的处理URL.
                                                        //可以配置logout成功后跳转的页面
                                                     //如果没有配置，则跳转到loginpage?logout
                .and().exceptionHandling()  //配置exception处理页面。
                    .accessDeniedPage("/html/403.jsp");
        }

        //配置放行的路径。放行/html/forbidden.html, 即使上面声明其为保护资源。
        @Override
        public void configure(WebSecurity web) {
            web.ignoring().antMatchers("/html/forbidden.html");
        }
    }

  3. AjaxSecurityConfig，则是配置ajax目录下面的Basic Authentication. 由于看了上一个配置的详解，这个配置就简单多了。不多说。

到此为止。FBA和BA均已配置完毕。将firstWeb打包，部署到tomcat上，查看每个路径是否符合我们的配置。

CSRF配置

javaconfig默认会开启CSRF，如果想关闭，可以调用http.csrf().disable(). 如果使用XML配置，默认是关闭CSRF,需要CSRF则需要声明<CSRF/>.

在开启CSRF以后，网站的任何FORM POST都必须带有CSRF的token，如果缺失token的话，则无法提交FORM。在每个FORM中，我们可以使用下面一段代码来带上CSRF的token.

<input type="hidden" name="<c:out value="${_csrf.parameterName}"/>" value="<c:out value="${_csrf.token}"/>"/>

试想，如果一个URL在GET的时候，没有经过CSRF filter的话，就不会有_csrf.token产生，这就是为什么我在上面要对不需要保护的index.jsp也声明了一个javaconfig的原因，这使得index.jsp会受到SpringSecurityFilterChain的过滤。

未登陆的情况下进行FORM POST

如果用户没有登陆，比如他在写博客。当他写完，提交FORM到受保护的页面时，需要FBA认证。在SpringSecurity中，如果没有经过特殊处理，FORM提交会转到login页面，当用户登陆成功以后，会跳转到默认页面，之前填写的FORM会丢失掉。 这会令人抓狂。

一般的处理方式有2种：

  1. 在用户填写完FORM以后，点击提交按钮之时，浏览器会先使用AJAX向服务器询问用户是否有权限，如果没有，则在当前页面动态的生成一个Warning message，告诉用户还没有登陆。

  2. 在用户填写完FORM，点击按钮后，同样还是AJAX询问服务器是否登录，如果没有，则弹出一个AJAX方式的用户登陆dialog，用户在dialog中输入账户，登陆成功后，重新提交FORM.

在本实验中，index.jsp想submit.jsp提交FORM就存在未登陆的情况，感兴趣的同学可以根据上面两种方式，改进其登陆方式。我就懒的去写了。

Remember Me功能

Remember Me的理论很简单。服务器端将用户名，加密过后的密码，和一个过期时间打包在一起，生成一个base64 token,写入客户端的cookie中。当用户下次访问的时候，可以从cookie中读取remember me的cookie，通过cookie，可以找到用户的名字和加密过的密码。系统通过UserDetailsService访问用户的所有信息，将cookie中的信息和UserDetailsService拿到的用户信息进行比对，其中密码进行加密后的比对，比对成功，则完成自动登录。

Spring Security 3中的remember me功能提供了默认实现。但它也存在几个要求：

  1. 在login Form中写入<input type="checkbox" name="remember-me">

  2. AuthenticationManager必须实现了UserDetailsService. 或为RememberMeAuthenticationProvider指定UserDetailsService.

  3. XML或javaconfig中配置remember me.

接下来，我将开始配置Remember me. Token信息存储数据库就不配置了，Spring自带机制。Remember me将记住账户14天。

  1. 在login Form中添加代码

    <input type="checkbox" name="remember-me"></td><td>Don't ask for my password for two weeks</td>

  2. 在类HttpServiceConfig的方法configure(HttpSecurity http)中，对http的配置最后一行添加一段新的代码。

        @Configuration
    @Order(2)
    public static class HtmlSecurityConfig extends WebSecurityConfigurerAdapter {
        @Override
        public void configure(HttpSecurity http) throws Exception {
            http.......
                .and().exceptionHandling().accessDeniedPage("/html/403.jsp")
                .and().rememberMe().tokenValiditySeconds(14*24*60*60);
        }

  3. 为AuthManager添加UserDetailsService。修改之前configureGlobal方法中的代码，添加UserDetailsService部分。

            @Autowired
	public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
		......
		LdapAuthenticationProvider authProvider = new LdapAuthenticationProvider(
				authenticator, populator);
		FilterBasedLdapUserSearch userSearch = new FilterBasedLdapUserSearch("ou=people","(uid={0})",contextSource);		
		LdapUserDetailsService userDetailsService = new LdapUserDetailsService(userSearch, populator);
		//auth.authenticationProvider(authProvider);
		//Will use DaoAuthenticationProvider.
		auth.userDetailsService(userDetailsService);
	}

  4. 到此remember me就成功了。重新部署，测试一下吧。

集群与SSO

请看下一篇文章。

标签
csrf
form
html代码
remember
易学教程内所有资源均来自网络或用户发布的内容，如有违反法律规定的内容欢迎反馈！
该文章没有解决你所遇到的问题?点击提问,说说你的问题,让更多的人一起探讨吧!