SpringSecurity 第三篇(常用处理器,权限校验,跨域问题)

SpringSecurity

权限校验

hasAuthority:方法只能够传入一个参数

hasAnyAuthority:方法可以传入多个权限,只有用户有其中任意一个权限都可以进行访问

hasRole:要求有对应的角色才可以进行访问,但是它内部会把我们出入的参数拼接上ROLE_后再去比较。所以这种情况下要用用户对应的权限也要有ROLE_这个前缀才可以

hasAnyRole:有任意的角色就可以进行访问,它内部会把我们传入的参数拼接上ROLE_后再进行比较

自定义权限校验方法

定义好权限校验方法:在@PreAuthorize注解中使用我们的方法

java 复制代码
@Component("nihao")
public class test {
    public boolean hasAuthority(String authority){
        //获取当前用户的权限
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        LoginUser loginUser = (LoginUser) authentication.getPrincipal();
        List<String> permissions=loginUser.getPermissions();
        //判断用户权限集合中是否存在authority
        return permissions.contains(authority);
    }
}

为了不和原有的方法冲突我们给注解加上名字

java 复制代码
@PreAuthorize("@nihao.hasAuthority('system:dept:list')")

CSRF

CSRF是跨站请求伪造,是web常见的攻击之一

CSRF漏洞:

假设我是用户,我正常访问网站登录成功返回cookie信息,这时如果有个黑客创建了一个别的网站,网站里有个按钮,实际上点下去我们是执行访问正常网站的操作,这样黑客在其中就会诱导我们去进行一些操作

SpringSecurity去防止CSRF攻击的方式就是通过csrf_token,后端会生成一个csrf_token,前端在进行访问的时候需将这个token携带,后端会有过滤器进行校验,如果没有携带或者伪造的就部允许访问

但是现在的前后端分离的开发中就是基于token来进行认证的所以在前后端分离的开发当中本来就不用担心CSRF认证,所以我们需要在SpringSecurity配置类中的configure方法中将csrf进行关闭

java 复制代码
//关闭csrf
http.csrf().disable()
//不通过Session获取SecurityContext
.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)

登陆成功处理器

UsernamePasswordAuthenticationFilter认证登录成功后会调用AuthenticationSuccessHandler的方法进行认证成功后的处理的,AuthenticationSuccessHandler就是登录成功处理器

我们实现AuthenticationSuccessHandler接口进行自定义操作

然后在security的配置类中的configure方法中进行配置

java 复制代码
http.formLogin().successHandler(successHandler);
http.authorizeRequests().anyRequest().authenticated();

登出成功处理器

在UsernamePasswordAuthenticationiter进行登录认证的时候,如果认证失败了是会调用AuthenticationFailureHandler的方法进行认证失败后的处理的。AuthenticationFailureHandler就是登录失败处理器

我们实现AuthenticationFailureHandler接口进行自定义操作

然后在security的配置类中的configure方法中进行配置

java 复制代码
http.formLogin().successHandler(successHandler).failureHandler(failureHandler);
http.authorizeRequests().anyRequest().authenticated();

注销成功处理器

同样实现LogoutSuccessHandler接口之后自定义操作

然后在security的配置类中的configure方法中进行配置

java 复制代码
http.logout().logoutSuccessHandler(logoutSuccessHandler);
相关推荐
Franklin22 分钟前
Python界面设计【QT-creator基础编程 - 01】如何让不同分辨率图像自动匹配graphicsView的窗口大小
开发语言·python·qt
郝学胜-神的一滴35 分钟前
深入理解QFlags:Qt中的位标志管理工具
开发语言·c++·qt·程序人生
柯南二号1 小时前
【Java后端】MyBatis-Plus 原理解析
java·开发语言·mybatis
我是哈哈hh2 小时前
【Node.js】ECMAScript标准 以及 npm安装
开发语言·前端·javascript·node.js
Sammyyyyy3 小时前
2025年,Javascript后端应该用 Bun、Node.js 还是 Deno?
开发语言·javascript·node.js
William一直在路上4 小时前
Python数据类型转换详解:从基础到实践
开发语言·python
看到我,请让我去学习4 小时前
Qt— 布局综合项目(Splitter,Stacked,Dock)
开发语言·qt
GUET_一路向前5 小时前
【C语言防御性编程】if条件常量在前,变量在后
c语言·开发语言·if-else·防御性编程
曳渔5 小时前
UDP/TCP套接字编程简单实战指南
java·开发语言·网络·网络协议·tcp/ip·udp
三千道应用题5 小时前
WPF&C#超市管理系统(6)订单详情、顾客注册、商品销售排行查询和库存提示、LiveChat报表
开发语言·c#·wpf