01 - spring security自定义登录页面

spring security自定义登录页面

文档

1. 00 - spring security框架使用
2. 01 - spring security自定义登录页面

使用浏览器自带的登录页面

添加一个配置类WebSecurityConfig.java，后续内容也会在此类中进行配置

package xin.yangshuai.springsecurity03.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.Customizer;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configurers.ExpressionUrlAuthorizationConfigurer;
import org.springframework.security.config.annotation.web.configurers.FormLoginConfigurer;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
// @EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

        // 开启授权保护
        http.authorizeRequests(new Customizer<ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry>() {
            @Override
            public void customize(ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry expressionInterceptUrlRegistry) {

                expressionInterceptUrlRegistry
                        // 对所有请求开启授权保护
                        .anyRequest()
                        // 已经认证的请求会被自动授权
                        .authenticated();
            }
        });

        // 使用基本授权方式（浏览器自带的登录页面，无默认登出页）
        http.httpBasic(Customizer.withDefaults());

        return http.build();
    }
}

• http.authorizeRequests授权配置
• 此方式由浏览器弹出默认登录页面进行登录认证
• @EnableWebSecurity此处不用开启，依赖时已经自动开启

自定义登录页面

调整配置类WebSecurityConfig.java

package xin.yangshuai.springsecurity03.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.Customizer;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configurers.ExpressionUrlAuthorizationConfigurer;
import org.springframework.security.config.annotation.web.configurers.FormLoginConfigurer;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
// @EnableWebSecurity
public class WebSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {

        // 开启授权保护
        http.authorizeRequests(new Customizer<ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry>() {
            @Override
            public void customize(ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry expressionInterceptUrlRegistry) {

                expressionInterceptUrlRegistry
                        // 对所有请求开启授权保护
                        .anyRequest()
                        // 已经认证的请求会被自动授权
                        .authenticated();
            }
        });

        // 自定义登录页面
        http.formLogin(new Customizer<FormLoginConfigurer<HttpSecurity>>() {
            @Override
            public void customize(FormLoginConfigurer<HttpSecurity> httpSecurityFormLoginConfigurer) {
                // 自定义登录页，并且设置无需授权允许访问
                httpSecurityFormLoginConfigurer.loginPage("/login").permitAll();
                // 配置自定义表单的用户名参数，默认值：username
                httpSecurityFormLoginConfigurer.usernameParameter("myusername");
                // 配置自定义表单的密码参数，默认值：password
                httpSecurityFormLoginConfigurer.passwordParameter("mypassword");
                // 校验失败时跳转的地址，默认值：/login?error
                httpSecurityFormLoginConfigurer.failureUrl("/login?error");
            }
        });

        return http.build();
    }
}

• loginPage("/login")表示未授权时，会跳转到GET /login接口，因此需要对GET /login接口响应自定义的登录页面
• usernameParameter("myusername")表示可以自定义提交表单参数，在登录页面，请求登录认证接口默认是POST /login，用户名、密码的参数名可以自定义
• failureUrl("/login?error")表示认证失败，会跳转到GET /login?error接口，可以携带参数用来信息展示，实际上也是跳转到了登录页面，只是携带了参数

配置登录页面接口

package xin.yangshuai.springsecurity03.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;

@Controller
public class LoginController {

    @GetMapping("login")
    public String login(){
        return "login";
    }
}

配置登录页面

根据thymeleaf模板引擎，页面位置：src/main/resources/templates/login.html

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>登录</title>
</head>
<body>
<h1>登录</h1>
<div th:if="${param.error}">用户名或密码错误</div>

<!--
使用动态参数，th:action="@{/login}"
开启防止csrf攻击时，会自动生成_csrf隐藏字段
 -->

<form th:action="@{/login}" method="post">
    <div>
        <input type="text" name="myusername" placeholder="用户名">
    </div>
    <div>
        <input type="password" name="mypassword" placeholder="密码">
    </div>
    <input type="submit" value="登录">
</form>
</body>
</html>

• 提交表单会默认加上_csrf参数，防止csrf攻击，这个与配置有关
• 表单参数myusername、mypassword要与配置保持一致
• 默认账号是user，密码在项目启动时，会输出到控制台上
• 认证失败后，会跳回到登录页，并且携带error参数，可以根据是否存在error参数来控制信息显示