皮皮网

1.Spring Security实现HTTP基本认证详解
2.SpringSecurity Oauth2Authentication对象使用
3.springsecurity中解密时如何解密的源码?
4.爆破专栏丨Spring Security系列教程之SpringSecurity中的密码加密
5.基于Springboot+SpringSecurity+Activiti7实现的工作流系统可方便二次开发(附完整源码)
6.SpringSecurity中的核心过滤器介绍

Spring Security实现HTTP基本认证详解

       前言

       在上一章节中，我们搭建了第一个Spring Security项目，分析学习了如何利用Spring Security保护Java Web项目。源码然而，分析对于SpringSecurity的源码细节，还有很多需要深入了解。分析简单的iapp源码本文将从认证方式开始，源码与大家共同学习各种认证。分析

       一. Spring Security的源码认证方式

       认证概念：认证是判断系统中是否存在某用户，并判断其身份合法性，分析解决用户登录问题。源码其目的分析是保护系统隐私数据与资源，确保仅合法用户能访问资源。源码

       认证方式：Spring Security中常见方式包括HTTP层面认证与表单认证，分析具体有HTTP基本认证、源码Form表单认证、HTTP摘要认证。

       二. HTTP基本认证

       基本认证概述：在三种方式中，基本认证是最简单的一种。Spring Security 4.x默认采用基本认证，通过弹窗要求用户输入用户名和密码。每次请求时，Authorization头使用Base编码“用户名:密码”。尽管安全性较低，但它是现代认证的基础，Spring Security OAuth的默认认证方式也是如此。

       基本认证核心API：执行流程包括过滤器、构建令牌、AuthenticationManager处理、转给Provider处理等步骤。具体实现步骤如代码所示，Key定位源码执行流程简单。

       基本认证步骤：分为四步，包括发起请求、服务器返回响应并说明认证形式、客户端弹出对话框输入用户名密码、服务器解码验证信息。

       基本认证弊端：无状态认证，无法携带Session信息，不支持Remember-Me功能。用户名密码以明文形式传输，极易被窃听和重放攻击。

       三. 代码实现

       通过理论知识，让我们动手实现基本认证。创建SecurityConfig配置类，继承WebSecurityConfigurerAdapter，开启基本认证。链式编程风格符合设计模式。

       代码结构：核心代码简短，项目包结构随个人创建，实现步骤包括创建配置类、启动项目。

       四. Basic认证详解

       实现基本认证后，本文将深入分析认证过程。Basic Authorization响应头包含WWW-Authenticate信息，分别表示认证类型、认证域。realm概念允许不同域请求时使用不同用户名/密码认证。

       基本认证过程：响应码为，浏览器弹出对话框要求输入用户名/密码，信息进行Base编码后发送给后台认证。linux creat()源码认证错误时，浏览器保持弹框；认证成功后，信息缓存在浏览器中，后续请求自动携带。

       注销Basic认证：认证信息缓存在浏览器中，直到关闭浏览器才会销毁。前端可通过手动配置错误的Authorization或使用特定方法清除认证信息，但某些浏览器无效。

       总结：通过几行代码实现基本认证，并了解了注销认证的方法。对于本文内容，欢迎分享你的见解或提问。我将提供Java学习资源，包括教程、源码等，助力你的学习进步。

SpringSecurity Oauth2Authentication对象使用

        在调用资源服务器的过程中，我们会将申请的token 作为header值进行传递，携带调用者的身份信息。但是资源服务器是如何通过token对调用者的身份进行判断的呢？

        Security中有一个Filter实现了对token信息的转换，将token值转换成了调用者的用户信息。该filter就是 Oauth2AuthenticationProcessingFilter

        一、查看源码

        查看Oauth2AuthenticationProcessingFilter的doFilter方法

        通过查看Oauth2AuthenticationProcessingFilter的dofilter方法，重点有两点

        （1）将request中的token提取出来封装成Authentication对象

        （2）将Authentication交给authenticationManager进行鉴权处理

        下面我们重点看下这两处的处理。

        二、token到Authentication对象转换实现

        Authentication authentication = tokenExtractor.extract(request);

        tokenExtractor在Oauth2AuthencationProcessingFilter中的默认实现是BearerTokenExtractor，我们查看BearerTokenExtractor的extract()方法。

        三、Authentication对象的鉴权

        Authentication authResult = authenticationManager.authenticate(authentication);

        此处的authenticationManager的实现类是Oauth2AuthenticationManager，而不是我们之前一直提到的ProvicerManager。我们看下Oauth2AuthenticationManager中的authenticate()方法。

        RemoteTokenService 的 loadAuthentication() 方法

        用户认证转换类

        * 接口层注入的 OAuth2Authentication对象中的 principal属性即在该类的extractAuthentication() 方法中实现的。

        * security默认使用的是 DefaultAccessTokenConverter类中的extractAuthentication()方法中使用。

        * 通过继承UserAuthenticationConverter该类，实现其中的extractAuthentication()方法来满足我们自己构造 principal属性的需求。

        * 在ResourceConfig类中，继续使用DefaultAccessTokenConverter,但是类中的UserAuthenticationConverter我们里换成我们自己的CustomUserAuthenticationConverter实现类。

        *

        * 我们构造的principal属性是map类，里面包含phone和userId两个字段。

springsecurity中解密时如何解密的?

       在Spring Security中，密码解密的过程涉及使用BCryptPasswordEncoder类。每次输出的hashPass（散列密码）虽各异，但最终的匹配结果f总是为true，表示匹配成功。探索源码后，发现hashPass中实际包含了每次加密时生成的随机盐。

       BCryptPasswordEncoder在进行密码匹配时，通过调用String hashpw(String password, String salt)方法。此方法接受两个参数：目标密码（如"admin"）和已加密密码（即hashPass）中的盐值。

       假设一次hashPass为：$2a$$AxafsyVqKp.s9WAEYWYeIY9TKEoGLTEOSB3KUkoLtGsBKhCwe

       其中，前部的随机盐（AxafsyVqKp.s9WAEYWYe）在匹配过程中会被重新提取出来。

       因此，加密后的版权基地源码hashPass不仅包含了密码本身，还隐含了用于加密的随机盐。这使得在验证密码时，可以准确地复现加密过程，从而实现密码的匹配与解密。

爆破专栏丨Spring Security系列教程之SpringSecurity中的密码加密

       前言

       本文将带您深入Spring Security密码加密机制的学习。Spring Security作为安全框架，自然包含密码加密内容。本篇将详细解释密码加密原理、Spring Security中的处理方案，特别是BCryptPasswordEncoder的应用。此外，还会指导您如何使用BCryptPasswordEncoder进行加密，以及实现多密码加密方案共存。

       一. 密码加密简介

       散列加密概述：密码加密常采用的信息摘要算法，包括MD5、SHA系列等，将数据压缩成固定长度的字符串。

       散列加密原理：通过压缩和混淆数据生成唯一指纹，确保数据安全。

       盐的作用：为增加安全性，密码加密时加入随机盐值，确保即使明文相同，生成的密文也不同。

       Spring Security密码处理：支持BCryptPasswordEncoder等方案，确保密码安全。

       二. 利用BCryptPasswordEncoder进行加密

       编写接口、配置加密算法、测试运行，实现密码加密。

       1. 编写register接口

       在UserController中添加register接口，3212的源码对密码进行加密，注入PasswordEncoder对象。

       2. 配置密码加密算法

       在Security Config类中，配置使用BCryptPasswordEncoder，放行注册接口。

       3. 测试运行

       启动项目，测试/user/register接口，验证密码加密效果。

       4. BCryptPasswordEncoder加解密原理

       BCrypt随机生成盐值，确保密码明文相同，密文也不同。比对密码时，先提取盐值，再加密明文，最后对比生成的密文。

       三. 利用其他Encoder进行加密实现

       1. MessageDigestPasswordEncoder用法

       使用MessageDigestPasswordEncoder实现，支持MD5、SHA等算法，配置时需指定算法名称。

       2. DelegatingPasswordEncoder用法

       利用DelegatingPasswordEncoder实现密码加密方案的动态切换，支持多种加密方式。

       四. 源码解析

       了解PasswordEncoder接口、默认实现BCryptPasswordEncoder、密码比对原理。

       1. PasswordEncoder接口解读

       接口定义密码加密和比对方法，实现密码安全。

       2. matches()默认执行时机

       自动调用matches方法进行密码比对，无需手动编码。

       五. 实现多密码加密方案共存

       1. 需求背景

       项目改造时，需要更新密码加密方案，但不希望用户重新注册。

       2. 实现过程

       配置DelegatingPasswordEncoder，定义测试接口，测试共存效果。

       3. 多密码方案并存实现原理

       Spring Security通过配置不同PasswordEncoder实现密码加密方案的灵活管理。

基于Springboot+SpringSecurity+Activiti7实现的工作流系统可方便二次开发(附完整源码)

       本文旨在介绍如何在基于SpringBoot和SpringSecurity的框架下集成Activiti7工作流引擎，实现工作流系统的二次开发。本文内容包括功能演示、二次开发与业务系统打通的方法、以及项目使用的示例。代码示例和完整源码可供有兴趣的开发者获取。

       功能演示部分，通过模拟一个单据审批流程，展示如何设置审批权限、创建流程实例以及审批流程的流转。用户登录后可以在工作流界面查看并处理自己的审批任务。

       二次开发与业务系统打通的方法分为两大部分：通用扩展点和系统与工作流框架的集成。通过封装通用接口，如流程定义、流程实例和审批任务的接口，实现对Activiti7框架的灵活扩展。对于具体的业务系统，如合同审批，可以绘制相关流程定义并绑定到业务中，通过调用框架API新建流程实例，从而实现审批流程的开启和审批任务的查询与处理。

       项目使用示例中，通过JavaWeb通用脚手架和Vue前端框架搭建系统，确保代码结构清晰。引入所需的依赖，如SpringSecurity、oauth2等，以及Activiti7相关的服务和其他通用能力。具体代码实例和完整源码位于仓库中，供开发者获取和学习。

       关于Activiti7的使用，本文至此结束。若有任何疑问或建议，欢迎在评论区留言或私信作者。提供的代码示例和完整源码可供有兴趣的开发者获取和学习。

SpringSecurity中的核心过滤器介绍

       本文将介绍SpringSecurity中常用的过滤器及其加载过程。

       一、常用的过滤器

       常用的过滤器共有个，具体如下：

       1. org.springframework.security.web.context.SecurityContextPersistenceFilter：这是第一个过滤器，其重要性不言而喻。它主要使用SecurityContextRepository在session中保存或更新一个SecurityContext，并将SecurityContext提供给后续过滤器使用，为后续filter建立所需的上下文。SecurityContext中存储了当前用户的认证和权限信息。

       2. org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter：此过滤器用于继承SecurityContext到Spring异步执行机制中的WebAsyncManager，是spring整合必须的。

       3. org.springframework.security.web.header.HeaderWriterFilter：向请求的header中添加响应的信息，可以在http标签内部使用security:headers来控制。

       4. org.springframework.security.web.csrf.CsrfFilter：Csrf又称跨域请求伪造，SpringSecurity会对所有post请求验证是否包含系统生成的csrf的token信息，如果不包含则报错，起到防止csrf攻击的效果。

       5. org.springframework.security.web.authentication.logout.LogoutFilter：匹配URL为/logout的请求，实现用户退出，清除认证信息。

       6. org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter：认证操作全靠这个过滤器，默认匹配URL为/login且必须为POST请求。

       7. org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter：如果没有在配置文件中指定认证页面，则由该过滤器生成一个默认的认证界面。

       8. org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter：由此过滤器生成一个默认的退出登录页面。

       9. org.springframework.security.web.authentication.www.BasicAuthenticationFilter：此过滤器会自动解析HTTP请求中头部名字为Authentication，且以Basic开头的头部信息。

       . org.springframework.security.web.savedrequest.RequestCacheAwareFilter：通过HttpSessionRequestCache内部维护一个RequestCache，用于缓存HttpServletRequest。

       . org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter：针对ServletRequest进行一次包装，使得request具有更加丰富的API。

       . org.springframework.security.web.authentication.AnonymousAuthenticationFilter：当SecurityContextHolder中认证信息为空，则会创建一个匿名用户存储到SecurityContextHolder中，SpringSecurity为了兼容未登录的访问，也走了一套认证流程，只不过是一个匿名的身份。

       . org.springframework.security.web.session.SessionManagementFilter：SecurityContextRepository限制同一个用户开启多个会话的数量。

       . org.springframework.security.web.access.ExceptionTranslationFilter：异常转换过滤器位于整个SpringSecurityFilterChain的后方，用来转换整个链路中出现的异常。

       . org.springframework.security.web.access.intercept.FilterSecurityInterceptor：获取所有配置资源的访问授权信息，根据SecurityContextHolder中存储的用户信息来决定其是否有权限。

       二、过滤器加载过程

       1. DelegatingFilterProxy：我们在web.xml中配置了一个名称为SpringSecurityFilterChain的过滤器DelegatingFilterProxy，接下来可以查看该源码。

       2. FilterChainProxy：通过上面的源码分析我们发现其实创建的是FilterChainProxy这个过滤器，那我们来看下这个过滤器。

       3. SecurityFilterChain和DefaultSecurityFilterChain：具体的实现类。

       总结：通过上面的代码分析，SpringSecurity中要使用到的过滤器最终都保存在了DefaultSecurityFilterChain对象的List filter对象中。

Spring Security 6.x 一文快速搞懂配置原理

       Spring Security 6.x的配置原理易于理解。核心就是一系列Filter（javax.servlet.Filter）组成的过滤器链，它们采用职责链设计模式串联，尽管初次接触可能让人眼花缭乱。首要任务是掌握配置，而非每个Filter的细节。新手在看到官方配置示例，特别是http.build()方法时，可能会感到困惑。本文将深入解析配置过程，以帮助理解。

       6.2.3版本的代码结构与5.7以上版本相似，主要变化在于配置部分。HttpSecurity的配置主要包括向SecurityFilterChain中添加不同功能的Filter对象。首先，我们要理解几个关键接口和类的作用，它们共同构建了配置流程。

       在AbstractConfiguredSecurityBuilder类中，doBuild方法是核心，分为多个步骤。它维护一个Map，存储SecurityConfigure实现类，配置过程中会遍历并调用这些类的configure方法，将Filter添加到FilterChain中。这些SecurityConfigure实例通过HttpSecurityConfiguration的构造过程添加到Map中，用户只需少量配置，就能构建出基本功能的SecurityFilterChain。

       默认情况下，HttpSecurity会加载个Filter。如果不进行自定义，得到的SecurityFilterChain结构会是怎样的，稍后会详细分析。此外，Spring Security提供了个Filter相关Configurer，供开发者定制开发。

       以官方文档示例代码为线索，我们可以看到配置的简洁优雅。例如，通过lambda表达式实现授权控制，或者使用Customizer参数配置。这些配置逻辑将复杂性封装，开发者只需关注业务逻辑。例如，AuthorizeHttpRequestsConfigurer负责配置权限拦截逻辑，而formLogin则创建UsernamePasswordAuthenticationFilter，用于处理用户名密码认证。

       总结来说，配置Filter的过程并不复杂，通过研究源码中configure方法，理解其配置项和能力，可以快速实现定制需求。Spring Security的过滤器链构建过程如上所述，理解了这个框架，配置起来就会更加得心应手。