新的安全问题不断出现，Spring Security也必须不断升级。作为一个主版本号修改的发行版本，Spring Security团队有机会来做一些主动的改变：
-
Spring Security支持更多的默认安全行为
-
最小化信息泄露
-
移除不建议使用的API
要更详细的查看如果从3.x升级到4.x，请参考：
-
Migrating from Spring Security 3.x to 4.x (XML Configuration)
-
Migrating from Spring Security 3.x to 4.x (Java Configuration)
笔者注：跟传统情况下，我们在做过滤器中做权限验证类似，Spring Secuirty也是在Filter中进行权限验证。因此使用Java代码配置Spring Security主要是这两个步骤：
1、创建过滤器
2、注册过滤器。
关于创建过滤器与注册过滤器过程中内部都做了什么，我们在后面会详细解释，目前我们只是要知道如何配置。
第一步：创建过滤器
第一步，是使用Java代码创建Spring Security的配置。这段配置创建一个Servlet Filter：springSecurityFilterChain，其负责应用中的所有安全，包括：保护应用的URLS，验证提交的username和password，重定向到登录页面等。
编写一个类，名字随意，这里为起名为SecurityConfig，源码如下所示：
- import org.springframework.beans.factory.annotation.Autowired;
- import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
- import org.springframework.security.config.annotation.web.builders.HttpSecurity;
- import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
- import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
- @EnableWebSecurity
- public class SecurityConfig extends WebSecurityConfigurerAdapter{
- @Autowired
- public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
- auth
- .inMemoryAuthentication()
- .withUser("user").password("password").roles("USER");
- }
- }
方法名 configureGlobal是无关紧要的，重要的是在一个添加了 @EnableWebSecurity, @EnableGlobalMethodSecurity或者 @EnableGlobalAuthentication注解的类里面，注入 AuthenticationManagerBuilder。
这段代码内容很少，但事实上已经做了很多的默认安全验证，包括：
1、访问应用中的每个URL都需要进行验证
2、生成一个登陆表单
3、允许用户使用username和password来登陆
4、允许用户注销
5、CSRF攻击拦截
6、 Session Fixation攻击
7、 安全Header集成
* HTTP Strict Transport Security for secure requests
* X-Content-Type-Options integration
* 缓存控制 (can be overridden later by your application to allow caching of your static resources)
* X-XSS-Protection integration
* X-Frame-Options integration to help prevent Clickjacking
Integrate with the following Servlet API methods
* HttpServletRequest#getRemoteUser()
* HttpServletRequest.html#getUserPrincipal()
* HttpServletRequest.html#isUserInRole(java.lang.String)
* HttpServletRequest.html#login(java.lang.String, java.lang.String)
* HttpServletRequest.html#logout()
第二步：注册过滤器
下一步是注册springSecurityFilterChain。这个可以借助Spring3.1引入的WebApplicationInitializer完成。SpringSecurity提供了一个基类 AbstractSecurityWebApplicationInitializer来确保 springSecurityFilterChain被注册。对于如何使用AbstractSecurityWebApplicationInitializer， 这要依据Spring Secuirty是否项目中的唯一的Spring组件而有所不同。
项目中没有使用Spring
如果你没有使用Spring或者SpringMvc，你需要传递我们的 SecurityConfig类到父类中，从而确保我们的配置会被加载。可以参照一下的代码：
- import org.springframework.security.web.context.*;
- public class SecurityWebApplicationInitializer
- extends AbstractSecurityWebApplicationInitializer {
- public SecurityWebApplicationInitializer() {
- super(SecurityConfig.class);
- }
- }
SecurityWebApplicationInitializer将会做以下的事情:
-
自动注册 springSecurityFilterChain 过滤器，并作用于应用中的每个URL。
-
添加一个 ContextLoaderListener 来加载 SecurityConfig类。
项目中已经使用了SpringMvc
如果在我们的应用程序中已经使用了Spring，那么在我们的应用中可能已经有了一个 WebApplicationInitializer来加载我们的配置，如果我们还使用之前的代码，将会出现一个错误。此时我们应该在已经存在的ApplicationContext中注册Spring Security。例如，如果我们已经使用SpringMvc，那么我们的代码应该是如下所示：
- import org.springframework.security.web.context.*;
- public class SecurityWebApplicationInitializer
- extends AbstractSecurityWebApplicationInitializer {
- }
这段代码仅仅会将 springSecurityFilterChain 注册到应用中，并作用于每个url。此时我们的SecurityConfig类依然会被已经存在的 ApplicationInitializer 加载。例如，我们使用SpringMvc，它将会被添加到 getRootConfigClasses()。
- public class MvcWebApplicationInitializer extends
- AbstractAnnotationConfigDispatcherServletInitializer {
- //Specify @Configuration and/or @Component classes to be provided to the root application context.
- @Override
- protected Class<?>[] getRootConfigClasses() {
- return new Class[] { SecurityConfig.class };
- }
- // ... other overrides ...
- }
运行项目
将以上代码部署到Tomcat中运行，通过浏览器访问任何页面都会被重新定位到一个登陆页面，截图如下：
这个页面是Spring Security自动帮我们生成的。我们可以使用之前配置的用户名和密码进行登录。自动生成这个页面的代码位于类DefaultLoginPageGeneratingFilter的generateLoginPageHtml方法中。
免费学习视频欢迎关注云图智联：https://e.yuntuzhilian.com/