自学内容网 自学内容网

SpringSecurity 第三篇(常用处理器,权限校验,跨域问题)

权限校验

hasAuthority:方法只能够传入一个参数
hasAnyAuthority:方法可以传入多个权限,只有用户有其中任意一个权限都可以进行访问
hasRole:要求有对应的角色才可以进行访问,但是它内部会把我们出入的参数拼接上ROLE_后再去比较。所以这种情况下要用用户对应的权限也要有ROLE_这个前缀才可以
hasAnyRole:有任意的角色就可以进行访问,它内部会把我们传入的参数拼接上ROLE_后再进行比较

自定义权限校验方法

定义好权限校验方法:在@PreAuthorize注解中使用我们的方法

@Component("nihao")
public class test {
    public boolean hasAuthority(String authority){
        //获取当前用户的权限
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        LoginUser loginUser = (LoginUser) authentication.getPrincipal();
        List<String> permissions=loginUser.getPermissions();
        //判断用户权限集合中是否存在authority
        return permissions.contains(authority);
    }
}

为了不和原有的方法冲突我们给注解加上名字

@PreAuthorize("@nihao.hasAuthority('system:dept:list')")

CSRF

CSRF是跨站请求伪造,是web常见的攻击之一
CSRF漏洞:

假设我是用户,我正常访问网站登录成功返回cookie信息,这时如果有个黑客创建了一个别的网站,网站里有个按钮,实际上点下去我们是执行访问正常网站的操作,这样黑客在其中就会诱导我们去进行一些操作

SpringSecurity去防止CSRF攻击的方式就是通过csrf_token,后端会生成一个csrf_token,前端在进行访问的时候需将这个token携带,后端会有过滤器进行校验,如果没有携带或者伪造的就部允许访问

但是现在的前后端分离的开发中就是基于token来进行认证的所以在前后端分离的开发当中本来就不用担心CSRF认证,所以我们需要在SpringSecurity配置类中的configure方法中将csrf进行关闭

//关闭csrf
http.csrf().disable()
//不通过Session获取SecurityContext
.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)

登陆成功处理器

UsernamePasswordAuthenticationFilter认证登录成功后会调用AuthenticationSuccessHandler的方法进行认证成功后的处理的,AuthenticationSuccessHandler就是登录成功处理器

我们实现AuthenticationSuccessHandler接口进行自定义操作
然后在security的配置类中的configure方法中进行配置

http.formLogin().successHandler(successHandler);
http.authorizeRequests().anyRequest().authenticated();

登出成功处理器

在UsernamePasswordAuthenticationiter进行登录认证的时候,如果认证失败了是会调用AuthenticationFailureHandler的方法进行认证失败后的处理的。AuthenticationFailureHandler就是登录失败处理器
我们实现AuthenticationFailureHandler接口进行自定义操作
然后在security的配置类中的configure方法中进行配置

http.formLogin().successHandler(successHandler).failureHandler(failureHandler);
http.authorizeRequests().anyRequest().authenticated();

注销成功处理器

同样实现LogoutSuccessHandler接口之后自定义操作
然后在security的配置类中的configure方法中进行配置

http.logout().logoutSuccessHandler(logoutSuccessHandler);

原文地址:https://blog.csdn.net/weixin_62513677/article/details/137973122

免责声明:本站文章内容转载自网络资源,如本站内容侵犯了原著者的合法权益,可联系本站删除。更多内容请关注自学内容网(zxcms.com)!