SpringSecurity实战教程（二）表单登录定制到处理逻辑的深度改造

前言#

通过上一章节的讲解，相信大家已经认识了Spring Security安全框架。在我们创建的第一个演示项目中，相信大家也发现了默认表单登录的局限性。Spring Security默认提供的登录页虽然快速可用，但存在三大问题：

界面风格与业务系统不匹配
登录成功/失败处理逻辑固定
缺乏扩展能力（如验证码、多因子认证）

本章节我们将对Spring Security默认表单进行登录定制，并深度改造处理逻辑。

改造准备#

在之前的Maven项目中创建第二个子模块，命名为login-spring-security。由于需要自定义登录页，还需要引入thymeleaf模板框架：

1
<dependency>
2
    <groupId>org.springframework.boot</groupId>
3
    <artifactId>spring-boot-starter-thymeleaf</artifactId>
4
</dependency>

完整的Maven项目结构如下：

开始登录页改造#

创建自定义登录页#

首先，我们需要自定义一个带验证码的登录页。在resources/templates目录下创建login.html：

1
<!DOCTYPE html>
2
<html xmlns:th="http://www.thymeleaf.org">
3
<head>
4
    <meta charset="UTF-8">
5
    <title>企业级登录系统</title>
6
    <link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/4.5.2/css/bootstrap.min.css">
7
</head>
8
<body>
9
<div class="container d-flex justify-content-center align-items-center vh-100">
10
    <div class="w-100" style="max-width: 400px;">
11
        <div class="card">
12
            <div class="card-body">
13
                <h2 class="card-title text-center mb-4">登录</h2>
14
                <form th:action="@{/login}" method="post">
15
                    <div class="mb-3">
16
                        <label for="username" class="form-label">用户名</label>
17
                        <input type="text" class="form-control" name="username" id="username" placeholder="请输入用户名">
18
                    </div>
19
                    <div class="mb-3">
20
                        <label for="password" class="form-label">密码</label>
21
                        <input type="password" class="form-control" name="password" id="password" placeholder="请输入密码">
22
                    </div>
23
                    <div class="d-grid gap-2">
24
                        <button type="submit" class="btn btn-primary">登录</button>
25
                    </div>
26
                    <p class="mt-3 text-center"><a href="#">忘记密码？</a></p>
27
                </form>
28
            </div>
29
        </div>
30
    </div>
31
</div>
32
</body>
33
</html>

创建默认首页#

添加一个默认首页index.html，显示登出按钮：

1
<html xmlns:th="https://www.thymeleaf.org">
2
<head>
3
    <meta charset="UTF-8">
4
    <title>企业级登录系统</title>
5
    <link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/4.5.2/css/bootstrap.min.css">
6
</head>
7
<body>
8
    <h1>Hello Security</h1>
9
    <!-- 测试过程不需要关闭csrf防护 -->
10
    <form th:action="@{/login}" method="post">
11
        <button type="submit" class="btn btn-primary">Log Out</button>
12
    </form>
13
    <!-- 测试过程需要关闭csrf防护 否则404 -->
14
    <a th:href="@{/logout}">Log Out</a>
15
</body>
16
</html>

添加Controller配置#

添加Controller配置首页以及登录页：

1
@Controller
2
public class DemoTowController {
3

4
    @GetMapping("/login")
5
    public String login() {
6
        return "login";
7
    }
8

9
    @GetMapping("/")
10
    public String index() {
11
        return "index";
12
    }
13
}

配置Spring Security#

最后对Spring Security进行配置：

1
@Configuration
2
public class BasicSecurityConfig {
3
    // 配置安全策略
4
    @Bean
5
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
6
        http
7
            .authorizeHttpRequests(authorize -> authorize
8
                .anyRequest().authenticated()
9
            )
10
            .formLogin(form -> form
11
                .loginPage("/login") // 自定义登录页路径
12
                .permitAll() // 不需要对login认证
13
            )
14
            .logout(withDefaults())
15
            .csrf(csrf -> csrf.disable()); // 关闭csrf防护
16
        return http.build();
17
    }
18
}

测试效果#

测试访问默认主页，由于主页被拦截会自动跳转到login登录页：

输入正确用户名密码后，自动返回主页，点击登出按钮自动回到登录页：

特别说明：

注意登录页以及主页登出，action采用@{}生成URL，Spring Security会自动帮我们生成name为 _csrf 的隐藏表单，作用于csrf防护：

如果登出页是 a 连接形式，为了保证登出不会出现 404 的问题：

先关闭 csrf 防护：http.csrf(csrf -> csrf.disable())
登出按钮使用表单方式：th:action="@{/logout}"

自定义用户名密码#

到这里有小伙伴又要问了，每次密码都是Spring Security自动生成的UUID，能否自定义用户名密码？答案是肯定的。Spring Security提供了在Spring Boot配置文件设置用户密码的功能：

1
spring:
2
  security:
3
    user:
4
      name: admin
5
      password: admin

登录成功/失败跳转问题#

通过上述代码，可以看到登录成功后默认返回系统主页（index.html）。但业务需求可能需要跳转到别的页面，如何配置？

Spring Security配置类中 formLogin 提供了两个参数 defaultSuccessUrl 和 failureUrl 方便我们进行配置：

1
http.formLogin(form -> form
2
    .loginPage("/login") // 自定义登录页路径
3
    .defaultSuccessUrl("/home", true) // 登录成功后跳转路径
4
    .failureUrl("/login?error=true")  // 登录失败后跳转路径
5
    .permitAll() // 不需要对login认证
6
)

自定义登出#

登出配置和登录基本相同：

1
http.logout(logout -> logout
2
    .logoutUrl("/logout") // 自定义登出URL
3
    .logoutSuccessUrl("/login?logout") // 登出成功跳转
4
)

前后端分离适配方案#

上述案例针对的是前后端在一个整体中的情况。针对现在前后端分离的项目，我们如何进行改造？需要处理以下问题：

用户登录成功返回成功JSON / 失败返回对应JSON
用户登出成功返回成功JSON / 失败返回对应JSON

原理说明#

首先引入官方介绍图如下：

在身份认证管理器AuthenticationManager中，有两个结果：Success和Failure，最终交给AuthenticationSuccessHandler以及AuthenticationFailureHandler处理器处理。

简单总结：

登录成功调用：AuthenticationSuccessHandler

登录失败调用：AuthenticationFailureHandler

自定义处理器实现#

通过上面的讲解，我们只需要自定义这两个处理器即可：

1
@Configuration
2
public class BasicSecurityConfig {
3
    // 配置安全策略
4
    @Bean
5
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
6
        http
7
            .authorizeHttpRequests(authorize -> authorize
8
                .requestMatchers("/ajaxLogin").permitAll() // ajax登录页不需要认证
9
                .anyRequest().authenticated()
10
            )
11
            .formLogin(form -> form
12
                .loginPage("/login") // 自定义登录页路径
13
                .successHandler(loginSuccessHandler())
14
                .failureHandler(loginFailureHandler())
15
                .permitAll() // 不需要对login认证
16
            )
17
            .logout(withDefaults())
18
            .csrf(csrf -> csrf.disable()); // 关闭csrf防护
19
        return http.build();
20
    }
21

22
    // 自定义登录成功处理器
23
    @Bean
24
    public AuthenticationSuccessHandler loginSuccessHandler() {
25
        return (request, response, authentication) -> {
26
            if (isAjaxRequest(request)) {
27
                response.setContentType("application/json");
28
                response.setCharacterEncoding("UTF-8");
29
                response.getWriter().write("{\"code\":200, \"message\":\"认证成功\"}");
30
            } else {
31
                response.sendRedirect("/");
32
            }
33
        };
34
    }
35

36
    // 自定义登录失败处理器
37
    @Bean
38
    public AuthenticationFailureHandler loginFailureHandler() {
39
        return (request, response, exception) -> {
40
            if (isAjaxRequest(request)) {
41
                response.setContentType("application/json");
42
                response.setCharacterEncoding("UTF-8");
43
                response.getWriter().write("{\"code\":401, \"message\":\"认证失败\"}");
44
            } else {
45
                response.sendRedirect("/login?error=true");
46
            }
47
        };
48
    }
49

50
    // 判断是否ajax请求
51
    public boolean isAjaxRequest(HttpServletRequest request) {
52
        String xRequestedWith = request.getHeader("X-Requested-With");
53
        return "XMLHttpRequest".equals(xRequestedWith);
54
    }
55
}

创建AJAX登录页#

新增一个ajaxLogin.html，使用ajax发送请求（为了测试方便，这里简单创建一个，不使用VUE等工程了）：

1
<!DOCTYPE html>
2
<html xmlns:th="http://www.thymeleaf.org">
3
<head>
4
    <meta charset="UTF-8">
5
    <title>企业级登录系统</title>
6
    <link rel="stylesheet" href="https://maxcdn.bootstrapcdn.com/bootstrap/4.5.2/css/bootstrap.min.css">
7
    <script src="http://libs.baidu.com/jquery/2.0.0/jquery.min.js"></script>
8
</head>
9
<body>
10
<div class="container d-flex justify-content-center align-items-center vh-100">
11
    <div class="w-100" style="max-width: 400px;">
12
        <div class="card">
13
            <div class="card-body">
14
                <h2 class="card-title text-center mb-4">登录</h2>
15
                <form>
16
                    <div class="mb-3">
17
                        <label for="username" class="form-label">用户名</label>
18
                        <input type="text" class="form-control" name="username" id="username" placeholder="请输入用户名">
19
                    </div>
20
                    <div class="mb-3">
21
                        <label for="password" class="form-label">密码</label>
22
                        <input type="password" class="form-control" name="password" id="password" placeholder="请输入密码">
23
                    </div>
24
                    <div class="d-grid gap-2">
25
                        <button type="submit" class="btn btn-primary">登录</button>
26
                    </div>
27
                    <p class="mt-3 text-center"><a href="#">忘记密码？</a></p>
28
                </form>
29
            </div>
30
        </div>
31
    </div>
32
</div>
33
<script>
34
    $(document).ready(function () {
35
        $('form').submit(function (event) {
36
            event.preventDefault();
37
            var username = $('#username').val();
38
            var password = $('#password').val();
39
            $.ajax({
40
                type: 'POST',
41
                url: '/login',
42
                data: {
43
                    username: username,
44
                    password: password
45
                },
46
                success: function (response) {
47
                    console.log(response)
48
                    if(response.code == 200){
49
                        window.location.href = '/';
50
                    }
51
                }
52
            })
53
        })
54
    })
55
</script>
56
</body>
57
</html>

添加Controller路由#

在Controller中追加页面展示：

1
@GetMapping("/ajaxLogin")
2
public String ajaxLogin() {
3
    return "ajaxLogin";
4
}

测试效果#

最后启动Spring Boot项目，访问/ajaxLogin登录页，测试输入正确和不正确的账号密码，并观察浏览器控制台输出：

结语#

本章节介绍了如何通过Spring Security实现从配置自定义登录页面、表单登录处理逻辑的配置，并简单模拟了前后端分离的适配方案。

在接下来的章节中，我们将逐步深入Spring Security的各个技术细节，带你从入门到精通，全面掌握这一安全技术的方方面面。欢迎继续关注！

音乐

音乐

前言#

改造准备#

开始登录页改造#

创建自定义登录页#

创建默认首页#

添加Controller配置#

配置Spring Security#

测试效果#

自定义用户名密码#

登录成功/失败跳转问题#

自定义登出#

前后端分离适配方案#

原理说明#

自定义处理器实现#

创建AJAX登录页#

添加Controller路由#

测试效果#

结语#

支持与分享

评论区

音乐

文章目录