Spring Boot 3 + Spring Security 6 最新版本修改 Json 登录后 RememberMe 功能问题失效的解决方案

news2024/12/26 21:40:38

当 Spring Boot 版本更新到 3 之后，最低要求的 JDK 版本变为 17，相应的 最新版本的 Spring Security 的配置也发生了变化，一下主要讲解一些新的 Spring Security 的配置方法

1. 配置由继承WebSeucrityConfigurerAdapter变成只需添加一个SecurityFilterChain的bean即可。

  1. Remember Me Token Repository
@Bean
public PersistentTokenRepository tokenRepositoryByMemory() {
  return new InMemoryTokenRepositoryImpl();
}
  1. SecurityHandler 工具
public class SecurityHandler {
  public void onLoginSuccess(
    final HttpServletRequest request,
    final HttpServletResponse response,
    final Authentication authentication) {
    sendUtf8MessageToResponse(response, RespMessage.success(
      "User " + authentication.getName() + " login success."));
  }

  public void onLoginFailure(
    final HttpServletRequest request,
    final HttpServletResponse response,
    final AuthenticationException exception) {
    log.error("Login failure, {}.", exception.getMessage());
    sendUtf8MessageToResponse(response, RespMessage.failure(
      "Login failure: " + exception.getMessage()));
  }

  public void onAuthenticationFailure(
    final HttpServletRequest request,
    final HttpServletResponse response,
    final AuthenticationException exception) {
    log.error("Auth failure, {}.", exception.getMessage());
    sendUtf8MessageToResponse(response, RespMessage.failure(
      HttpStatus.UNAUTHORIZED, "Auth failure: " + exception.getMessage()));
  }

  public void onAccessDenied(
    final HttpServletRequest request,
    final HttpServletResponse response,
    final AccessDeniedException exception) {
    log.error("Access denied, {}.", exception.getMessage());
    sendUtf8MessageToResponse(response, RespMessage.failure(
      HttpStatus.FORBIDDEN, "Access denied: " + exception.getMessage()));
  }

  public void onLogoutSuccess(
    final HttpServletRequest request,
    final HttpServletResponse response,
    final Authentication authentication) {
    RespMessage<String> resp;
    if (Objects.nonNull(authentication)) {
      resp = RespMessage.success("Logout success: " + authentication.getName() + ".");
    } else {
      log.error("Logout failure: Unauthorized logout request.");
      resp = RespMessage.failure(HttpStatus.UNAUTHORIZED, "Unauthorized logout request.");
    }
    sendUtf8MessageToResponse(response, resp);
  }

  public CorsConfigurationSource configurationSource() {
    final CorsConfiguration corsConfiguration = new CorsConfiguration();
    corsConfiguration.addAllowedOriginPattern("*");
    corsConfiguration.setAllowCredentials(true);
    corsConfiguration.addAllowedHeader("*");
    corsConfiguration.addAllowedMethod("*");
    corsConfiguration.addExposedHeader("*");
    final UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", corsConfiguration);
    return source;
  }

  private void sendUtf8MessageToResponse(
    final HttpServletResponse response,
    final RespMessage<?> respMessage) {
    response.setContentType(APPLICATION_JSON_VALUE);
    try {
      JSONUtil.toJsonStr(respMessage, response.getWriter());
    } catch (final IOException e) {
      log.error("Write To Response Failure: {}.", e.getMessage());
    }
  }
}
  1. UserDetailService
@Bean
public UserDetailsService userDetailsService() {
  final PasswordEncoder encoder = PasswordEncoderFactories.createDelegatingPasswordEncoder();
  final UserBuilder users = User.builder().passwordEncoder(encoder::encode);
  final InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
  manager.createUser(users.username("user").password("password").roles("USER").build());
  manager.createUser(users.username("admin").password("password").roles("USER","ADMIN").build());
  return manager;
}
  1. Spring Srcurity 配置类
@Bean
public SecurityFilterChain filterChain(final HttpSecurity httpSecurity) throws Exception {
  // 解决 Json 数据返回中文乱码问题
  final CharacterEncodingFilter encodingFilter = new CharacterEncodingFilter();
  encodingFilter.setEncoding(StandardCharsets.UTF_8.name());
  encodingFilter.setForceEncoding(true);

  return httpSecurity
    .addFilterBefore(encodingFilter, CsrfFilter.class)
    .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
    .formLogin(formLogin -> formLogin
        .loginProcessingUrl("/auth/login")
        .successHandler(securityHandler::onLoginSuccess)
        .failureHandler(securityHandler::onLoginFailure)
        .permitAll()
    )
    .logout(logout -> logout
         .logoutUrl("/auth/logout")
         .logoutSuccessHandler(securityHandler::onLogoutSuccess)
     )
    .exceptionHandling(exception -> {
      exception.authenticationEntryPoint(securityHandler::onAuthenticationFailure);
      exception.accessDeniedHandler(securityHandler::onAccessDenied);
    })
    .cors(corsConfig -> corsConfig.configurationSource(securityHandler.configurationSource()))
    .rememberMe(rememberMeConfig -> {
      rememberMeConfig.rememberMeParameter("remember");
      rememberMeConfig.userDetailsService(userDetailsService);
      rememberMeConfig.tokenRepository(tokenRepository);
      // 设置短一点的时间以测试 remember-me 的功能
      rememberMeConfig.tokenValiditySeconds(30);
    })
    .csrf(AbstractHttpConfigurer::disable)
    .sessionManagement(AbstractHttpConfigurer::disable)
    .build();
}
  1. TestController ebdpoint
@GetMapping("system-resource")
public RespMessage<String> getSystemResource() {
  log.info("Invoke system-resource api, get resource success.");
  return RespMessage.success("Congratulation get the system resource.");
}

2. login 请求测试，可以看到 remember-me cookie 成功返回，并且在下一次求中会携带该 token 去服务器端，在 cookie 的有效期内直接自动登录

在这里插入图片描述
在这里插入图片描述

3. 将 login 请求更改成以 Json 字符串的格式提交的形式

  1. RequestUtil 工具类
public final class RequestUtil {
  private RequestUtil() {}

  public static LoginRequest getLoginRequest(final HttpServletRequest request) {
    final ObjectMapper objectMapper = new ObjectMapper();
    try {
      return objectMapper.readValue(request.getInputStream(), LoginRequest.class);
    } catch (final Exception e) {
      log.error("Read LoginRequest Value Error: {}.", e.getMessage());
      throw new AuthenticationServiceException(e.getMessage());
    }
  }
}
  1. 自定义 UsernamePasswordAuthenticationFilter
public class JsonUsernamePasswordAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
  @Override
  public Authentication attemptAuthentication(
    final HttpServletRequest request,
    final HttpServletResponse response) throws AuthenticationException {

    if (!StrUtil.equalsIgnoreCase(HttpMethod.POST.name(), request.getMethod())
        || !StrUtil.equalsIgnoreCase(APPLICATION_JSON_VALUE, request.getContentType())) {
      throw new AuthenticationServiceException(
        "Authentication method or content type not supported: " + request.getMethod()
        + ", " + request.getContentType());
    }

    final LoginRequest loginRequest = RequestUtil.getLoginRequest(request);

    final UsernamePasswordAuthenticationToken authRequest =
      new UsernamePasswordAuthenticationToken(
      loginRequest.getUsername(), loginRequest.getPassword());

    setDetails(request, authRequest);

    return getAuthenticationManager().authenticate(authRequest);
  }
}
  1. 添加自定义 UsernamePasswordAuthenticationFilter 到 IOC 容器中
private final SecurityHandler securityHandler;

@Bean
public UsernamePasswordAuthenticationFilter usernamePasswordAuthenticationFilter() {
  final JsonUsernamePasswordAuthenticationFilter filter =
    new JsonUsernamePasswordAuthenticationFilter();
  filter.setFilterProcessesUrl("/auth/login");
  filter.setAuthenticationSuccessHandler(securityHandler::onLoginSuccess);
  filter.setAuthenticationFailureHandler(securityHandler::onLoginFailure);
  filter.setAuthenticationManager(authenticationManager());
  filter.setSecurityContextRepository(new HttpSessionSecurityContextRepository());
  return filter;
}
  1. 更改 Spring Security 配置类
// 将以下部分
.formLogin(formLogin -> formLogin
    .loginProcessingUrl("/auth/login")
    .successHandler(securityHandler::onLoginSuccess)
    .failureHandler(securityHandler::onLoginFailure)
    .permitAll()
)
// 替换成以下部分即可
.formLogin(AbstractHttpConfigurer::disable)
.addFilterBefore(usernamePasswordAuthenticationFilter, UsernamePasswordAuthenticationFilter.class)

4. 发现问题：我们配置了开启了 SpringSecurity 的 remember 功能，为啥不生效了呢？

  1. 我们只是将 formLogin 给关闭了<.formLogin(AbstractHttpConfigurer::disable)>，使用了自定义的 Json 格式来获取用户名和密码等信息，并且携带了 remember 的信息过来。

  2. 如果我们保持这个自定义登录的配置不变，仅仅只加上.formLogin(form -> {})这一句话，其实 remember-me 功能已经解决了，虽然这可以解决问题，但这不是我们想要的，我们不就是需要自定义登录，把 formLogin 给关了吗？

  3. 关闭了 formLogin 到底做了什么呢？就导致了 remember-me 不生效了呢，参数获取方式需要变了是一个原因，但还有其他的。

  4. 在源码 UsernamePasswordAuthenticationFilter 的 attemptAuthentication 方法断点查看变量发现如下：

    1. 使用 formLogin 配置的时候，rememberMeServices 是 PersistentTokenBaseRememberMeServices 实现的
      在这里插入图片描述

    2. 使用 Json 格式自定义登录的时候，rememberMeServices 是 NullRememberMeServices 实现的
      在这里插入图片描述

    3. 所以问题就出在这，当我们验证用户名密码之前，我们关闭了 formLogin 的话就没有正确配置好 rememberMeServices 的值

    4. 自定义 RememberMeServices

    @Component
public class CustomJsonRememberMeService extends PersistentTokenBasedRememberMeServices {

  private static final String REMEMBER_ME_ATTR_NAME = "remember";

  private static final Integer REMEMBER_ME_TOKEN_VALIDITY = 3600;

  public CustomJsonRememberMeService(
    final UserDetailsService userDetailsService,
    final PersistentTokenRepository tokenRepository) {
    super(UUID.randomUUID().toString(), userDetailsService, tokenRepository);
    setParameter(REMEMBER_ME_ATTR_NAME);
    setTokenValiditySeconds(REMEMBER_ME_TOKEN_VALIDITY);
  }

  @Override
  protected boolean rememberMeRequested(final HttpServletRequest request, final String parameter) {
    final Object remember = request.getAttribute(REMEMBER_ME_ATTR_NAME);
    return Objects.nonNull(remember) && Boolean.parseBoolean(remember.toString());
  }
}
    1. 修改 Security remember me 部分配置
    // 只需要将以下部分
.rememberMe(rememberMeConfig -> {
  rememberMeConfig.rememberMeParameter("remember");
  rememberMeConfig.userDetailsService(userDetailsService);
  rememberMeConfig.tokenRepository(tokenRepository);
  rememberMeConfig.tokenValiditySeconds(30);
})

// 更改成以下部分即可，这里将 userDetailsService 和 tokenRepository 都移除了是因为 customJsonRememberMeService 已经定义好了这两个的实现了
private final RememberMeServices rememberMeServices;
.rememberMe(rememberMeConfig -> rememberMeConfig.rememberMeServices(rememberMeServices))
    1. 修改 JsonUsernamePasswordAuthenticationFilter 部分
    // 在获取 LoginRequest 对象之后，再从 LoginRequest 中获取 remember 的值并且存进 request 中以便 CustomJsonRememberMeService 中获取
final LoginRequest loginRequest = RequestUtil.getLoginRequest(request);

// 以下是添加的代码
if (loginRequest.getRemember()) {
  request.setAttribute("remember", true);
}

  5. 再使用 PostMan 调用接口已经生效了

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1265689.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

查看当前目录下文件数量

查看当前目录下文件数量

查看当前目录下文件数量 查看文件夹数量查看文件数查看所有文件&#xff08;包括子文件&#xff09;数量查看所有目录&#xff08;包括子目录&#xff09;数量查看图片数量 查看文件夹数量 ls -l | grep ^d | wc -l查看文件数 不包含文件夹 ls -l | grep ^- | wc -l查看所有…
阅读更多...
Vue 定义只读数据 readonly 与 shallowReadonly

Vue 定义只读数据 readonly 与 shallowReadonly

readonly 让一个响应式数据变为 **深层次的只读数据**。 shallowReadonly 让一个响应式数据变为 **浅层次的只读数据**&#xff0c;只读第一层。 isReadonly 判断一个数据是不是只读数据。 应用场景&#xff1a;不希望数据被修改时使用。 readonly深层次只读&#xff1a; …
阅读更多...
Matplotlib直方图的创建_Python数据分析与可视化

Matplotlib直方图的创建_Python数据分析与可视化

Matplotlib直方图的创建 概念区分绘制直方图 概念区分 什么是直方图&#xff1f; 直方图&#xff08;Histogram&#xff09;又称质量分布图&#xff0c;是统计报告图的一种&#xff0c;由一系列高度不等的纵向条纹或线段表示数据分布的情况&#xff0c;一般用横轴表示数据所属…
阅读更多...
16.spirng源码解析-registerBeanPostProcessors

16.spirng源码解析-registerBeanPostProcessors

注册拦截bean创建的bean处理器 此部分实质上是在BeanDefinitions中寻找BeanPostProcessor&#xff0c;之后调用BeanFactory.addBeanPostProcessor方法保存在一个List中&#xff0c;注意添加时仍然有优先级的概念&#xff0c;优先级高的在前面。
阅读更多...
ESP-Mesh-Lite 用户指南

ESP-Mesh-Lite 用户指南

ESP-MESH-LITE 本指南提供有关 Mesh-Lite 协议的介绍。 概述 ESP-MESH-LITE 是一套建立在 Wi-Fi 协议之上的网络协议。ESP-MESH-LITE 允许分布在大范围区域内&#xff08;室内和室外&#xff09;的大量设备&#xff08;下文称节点&#xff09;在同一个 WLAN&#xff08;无线…
阅读更多...
聚观早报 |红魔9 Pro开卖；真我GT5 Pro定档

聚观早报 |红魔9 Pro开卖；真我GT5 Pro定档

【聚观365】11月29日消息 红魔9 Pro开卖 真我GT5 Pro定档 一加12镜头细节公布 Redmi K70 Pro将搭载夜枭算法 苹果Vision Pro头显下月量产 红魔9 Pro开卖 红魔电竞旗舰最新力作——红魔9 Pro系列正式发布。作为一款全能电竞旗舰&#xff0c;该机搭载了第三代骁龙8移动平台…
阅读更多...
如何恢复已删除的照片 ？适用于 Windows 的Android 数据恢复软件值得尝试

如何恢复已删除的照片 ？适用于 Windows 的Android 数据恢复软件值得尝试

“我丢失了 Android 手机上的照片&#xff0c;有人告诉我使用恢复程序来找回所有手机数据。我使用的是 Windows 10 和华为 手机&#xff0c;对于 Windows最有效的 Android 数据恢复是什么&#xff1f;” Android 恢复程序用于检索丢失或删除的文件&#xff0c;如照片、联系人、…
阅读更多...
pytorch读取tiny-imagenet-200的验证集(val)

pytorch读取tiny-imagenet-200的验证集(val)

ori_train torchvision.datasets.ImageFolder(root args.datadir /tiny-imagenet-200/train/, transformtransform)#可以获取class_idx的映射class_idx ori_train.class_to_idx val_annotations.txt中存储着每个图片对应的类别 获取验证集的标签 test_target []#读取val_…
阅读更多...
uniapp微信小程序中阻止事件冒泡

uniapp微信小程序中阻止事件冒泡

开发场景&#xff1a;列表中展示地块的数据信息&#xff0c;用户可以点击列表进入地块的详情界面&#xff0c;也可以点击列表中的星星按钮进行收藏 遇到的问题&#xff1a;每次点击星星的时候&#xff0c;都会触发父级的点击事件&#xff0c;从而进入到详情界面 原本的代码&am…
阅读更多...
红队攻防之hash登录RDP

红队攻防之hash登录RDP

没什么好害怕&#xff0c;孩子放心去飞吧&#xff0c;在你的身后有个等你的家 Restricted Admin Mode 受限管理模式是一项 Windows 功能&#xff0c;可防止将 RDP 用户的凭据存储在建立 RDP 连接的计算机的内存中。 这是用来防止用户&#xff08;管理员&#xff09;在 RDP 进…
阅读更多...
VT-VSPA1-1X比例压力阀控制板

VT-VSPA1-1X比例压力阀控制板

替代力士乐同型号,可以完全互换使用&#xff1b;适用于力士乐系列所有无电位置反馈的直动式和先导式比例压力阀的控制&#xff1b;外置欧板式连接&#xff0c;VT-VSPA1-1X型放大器配套支架型号&#xff1a;VT-3002-1X/32D或VT-3002-2X/32D&#xff1b; VT-VSPA2-1-1X/T1、VT-V…
阅读更多...
面试必须要知道的MySQL知识--索引

面试必须要知道的MySQL知识--索引

10 索引 10.1 数据页存储结构 10.1.1 数据页的各个部分 在讲索引之前&#xff0c;让我们看看一个单独的数据页是什么样子的 去除掉一些我们不太需要那么关注的部分后&#xff0c;简化如下&#xff1a; 也就是说平时我们在一个表里插入的一行一行的数据会存储在数据页里&#…
阅读更多...
DDR-MIG 学习记录

DDR-MIG 学习记录

MIG调试总结&#xff1a; 对vivado软件中用于控制DDR2 / DDR3 的 控制器MIG(Memory Interface Generator)IP核进行了仿真测试&#xff0c;以学习如何用IP核来控制FPGA板载SDRAM的读写。我们只需要学会MIG的接口控制就可以。 ①配置IP核 Xilinx 的 DDR 控制器的名称简写为 MIG&…
阅读更多...
解密Long型数据传递：Spring Boot后台如何避免精度丢失问题

解密Long型数据传递：Spring Boot后台如何避免精度丢失问题

前端和后端之间的数据传递至关重要。然而&#xff0c;当涉及到Long类型数据时&#xff0c;可能会出现精度丢失问题&#xff0c;这会影响数据的准确性。本文将为你介绍两种解决方案&#xff0c;帮助你确保Long类型数据在前端和后端之间的精确传递。 精度丢失测试 访问:http://l…
阅读更多...
深度学习可解释性Python库

深度学习可解释性Python库

本文整理了10个常用于可解释AI的Python库&#xff0c;方便我们更好的理解AI模型的决策。 原文阅读 什么是XAI&#xff1f; XAI&#xff08;Explainable AI&#xff09;的目标是为模型的行为和决策提供合理的解释&#xff0c;这有助于增加信任、提供问责制和模型决策的透明度…
阅读更多...
SAP FB01 更新采购凭证历史EKBE

SAP FB01 更新采购凭证历史EKBE

参考链接BAPI_ACC_DOCUMENT_POST – Vendor Down payment: Update Purchase order info and PO history 不需要链接里的替代过程&#xff0c;可以直接写在函数BAPI_ACC_DOCUMENT_POST的增强结构EXTENSION2里 需要复制BTE增强1050 在其中调用函数ME_CREATE_HISTORY_FINANCE 即…
阅读更多...
工具 | docker删除不使用的容器

工具 | docker删除不使用的容器

工具 | docker删除不使用的容器 Docker 清理命令
阅读更多...
ESP32-Web-Server 实战编程-通过网页控制设备的 GPIO

ESP32-Web-Server 实战编程-通过网页控制设备的 GPIO

ESP32-Web-Server 实战编程-通过网页控制设备的 GPIO 概述 前述博客讲解了 Web 编程的基本知识&#xff0c;包括 HTML、CSS、JavaScript 三个部分&#xff0c;从这节开始&#xff0c;我们进入实战部分&#xff0c;在实际项目中进一步学习 ESP32-Web 编程。 GPIO &#xff08…
阅读更多...
产品解读：GreatADM如何快速改造单实例为双主、MGR、读写分离架构？

产品解读：GreatADM如何快速改造单实例为双主、MGR、读写分离架构？

前言 单机GreatDB/GreatSQL/MySQL将架构调整为多副本复制的好处有哪些&#xff1f;为什么要调整&#xff1f; 性能优化&#xff1a;如果单个GreatDB服务器的处理能力达到瓶颈&#xff0c;可能需要通过主从复制、双主复制或MGR及其他高可用方案来提高整体性能。通过将读请求分发…
阅读更多...
免交互语法expect

免交互语法expect

目录 前瞻 相关命令 范例一&#xff1a;免密登录另外一台主机并创建用户 范例二&#xff1a;免密登录另外三台主机并创建用户 前瞻 expect是建立在tcl&#xff08;tool command language&#xff09;语言基础上的一个工具&#xff0c;常被用于进行自动化控制和测试&#xf…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023