歡迎光臨
每天分享高質量文章
當前位置：知識星球 > 後端 > 正文

Spring Security(五)–動手實現一個IP_Login

2018-01-18 分類：後端 閱讀(337) 評論(0)

在開始這篇文章之前，我們似乎應該思考下為什麼需要搞清楚Spring Security的內部工作原理？按照第二篇文章中的配置，一個簡單的表單認證不就達成了嗎？更有甚者，為什麼我們不自己寫一個表單認證，用過濾器即可完成，大費周章引入Spring Security，看起來也並沒有方便多少。對的，在引入Spring Security之前，我們得首先想到，是什麼需求讓我們引入了Spring Security，以及為什麼是Spring Security，而不是shiro等等其他安全框架。我的理解是有如下幾點：

1 在前文的介紹中，Spring Security支援防止csrf攻擊，session-fixation protection，支援表單認證，basic認證，rememberMe…等等一些特性，有很多是開箱即用的功能，而大多特性都可以透過配置靈活的變更，這是它的強大之處。

2 Spring Security的兄弟的專案Spring Security SSO，OAuth2等支援了多種協議，而這些都是基於Spring Security的，方便了專案的擴充套件。

3 SpringBoot的支援，更加保證了Spring Security的開箱即用。

4 為什麼需要理解其內部工作原理?一個有自我追求的程式員都不會滿足於淺嘗輒止，如果一個開源技術在我們的日常工作中十分常用，那麼我偏向於閱讀其原始碼，這樣可以讓我們即使排查不期而至的問題，也方便日後需求擴充套件。

5 Spring及其子專案的官方檔案是我見過的最良心的檔案！~~相比較於Apache的部分檔案~~

這一節，為了對之前分析的Spring Security原始碼和元件有一個清晰的認識，介紹一個使用IP完成登入的簡單demo。

作者：老徐

原文地址：https://www.cnkirito.moe/2017/10/01/spring-security-5/

友情提示：歡迎關註公眾號【芋道原始碼】。?關註後，拉你進【原始碼圈】微信群和【老徐】搞基嗨皮。

友情提示：歡迎關註公眾號【芋道原始碼】。?關註後，拉你進【原始碼圈】微信群和【老徐】搞基嗨皮。

友情提示：歡迎關註公眾號【芋道原始碼】。?關註後，拉你進【原始碼圈】微信群和【老徐】搞基嗨皮。

5 動手實現一個IP_Login

5.1 定義需求

在表單登入中，一般使用資料庫中配置的使用者表，許可權表，角色表，許可權組表…這取決於你的許可權粒度，但本質都是藉助了一個持久化儲存，維護了使用者的角色許可權，而後給出一個/login作為登入端點，使用表單提交使用者名稱和密碼，而後完成登入後可自由訪問受限頁面。

在我們的IP登入demo中，也是類似的，使用IP地址作為身份，記憶體中的一個ConcurrentHashMap維護IP地址和許可權的對映，如果在認證時找不到相應的許可權，則認為認證失敗。

實際上，在表單登入中，使用者的IP地址已經被存放在Authentication.getDetails()中了，完全可以只重寫一個AuthenticationProvider認證這個IP地址即可，但是，本demo是為了釐清Spring Security內部工作原理而設定，為了設計到更多的類，我完全重寫了IP過濾器。

5.2 設計概述

我們的參考完全是表單認證，在之前章節中，已經瞭解了表單認證相關的核心流程，將此圖再貼一遍：

在IP登入的demo中，使用IpAuthenticationProcessingFilter攔截IP登入請求，同樣使用ProviderManager作為全域性AuthenticationManager介面的實現類，將ProviderManager內部的DaoAuthenticationProvider替換為IpAuthenticationProvider，而UserDetailsService則使用一個ConcurrentHashMap代替。更詳細一點的設計：

  1. IpAuthenticationProcessingFilter–>UsernamePasswordAuthenticationFilter

  2. IpAuthenticationToken–>UsernamePasswordAuthenticationToken

  3. ProviderManager–>ProviderManager

  4. IpAuthenticationProvider–>DaoAuthenticationProvider

  5. ConcurrentHashMap–>UserDetailsService

5.3 IpAuthenticationToken

  1. public class IpAuthenticationToken extends AbstractAuthenticationToken {
  3.     private String ip;
  5.     public String getIp() {
  6.         return ip;
  7.     }
  9.     public void setIp(String ip) {
  10.         this.ip = ip;
  11.     }
  13.     public IpAuthenticationToken(String ip) {
  14.         super(null);
  15.         this.ip = ip;
  16.         super.setAuthenticated(false);//註意這個構造方法是認證時使用的
  17.     }
  19.     public IpAuthenticationToken(String ip, Collection extends GrantedAuthority> authorities) {
  20.         super(authorities);
  21.         this.ip = ip;
  22.         super.setAuthenticated(true);//註意這個構造方法是認證成功後使用的
  24.     }
  26.     @Override
  27.     public Object getCredentials() {
  28.         return null;
  29.     }
  31.     @Override
  32.     public Object getPrincipal() {
  33.         return this.ip;
  34.     }
  36. }

兩個構造方法需要引起我們的註意，這裡設計的用意是模仿的UsernamePasswordAuthenticationToken，第一個建構式是用於認證之前，傳遞給認證器使用的，所以只有IP地址，自然是未認證；第二個建構式用於認證成功之後，封裝認證使用者的資訊，此時需要將許可權也設定到其中，並且setAuthenticated(true)。這樣的設計在諸多的Token類設計中很常見。

5.4 IpAuthenticationProcessingFilter

  1. public class IpAuthenticationProcessingFilter extends AbstractAuthenticationProcessingFilter {
  2.     //使用/ipVerify該端點進行ip認證
  3.     IpAuthenticationProcessingFilter() {
  4.         super(new AntPathRequestMatcher("/ipVerify"));
  5.     }
  7.     @Override
  8.     public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException, IOException, ServletException {
  9.         //獲取host資訊
  10.         String host = request.getRemoteHost();
  11.         //交給內部的AuthenticationManager去認證，實現解耦
  12.         return getAuthenticationManager().authenticate(new IpAuthenticationToken(host));
  13.     }
  14. }

  1. AbstractAuthenticationProcessingFilter這個過濾器在前面一節介紹過，是UsernamePasswordAuthenticationFilter的父類，我們的IpAuthenticationProcessingFilter也繼承了它

  2. 建構式中傳入了/ipVerify作為IP登入的端點

  3. attemptAuthentication()方法中載入請求的IP地址，之後交給內部的AuthenticationManager去認證

5.5 IpAuthenticationProvider

  1. public class IpAuthenticationProvider implements AuthenticationProvider {
  2.     final static Map<String, SimpleGrantedAuthority> ipAuthorityMap = new ConcurrenHashMap();
  3.     //維護一個ip白名單串列，每個ip對應一定的許可權
  4.     static {
  5.         ipAuthorityMap.put("127.0.0.1", new SimpleGrantedAuthority("ADMIN"));
  6.         ipAuthorityMap.put("10.236.69.103", new SimpleGrantedAuthority("ADMIN"));
  7.         ipAuthorityMap.put("10.236.69.104", new SimpleGrantedAuthority("FRIEND"));
  8.     }
  10.     @Override
  11.     public Authentication authenticate(Authentication authentication) throws AuthenticationException {
  12.         IpAuthenticationToken ipAuthenticationToken = (IpAuthenticationToken) authentication;
  13.         String ip = ipAuthenticationToken.getIp();
  14.         SimpleGrantedAuthority simpleGrantedAuthority = ipAuthorityMap.get(ip);
  15.         //不在白名單串列中
  16.         if (simpleGrantedAuthority == null) {
  17.             return null;
  18.         } else {
  19.             //封裝許可權資訊，並且此時身份已經被認證
  20.             return new IpAuthenticationToken(ip, Arrays.asList(simpleGrantedAuthority));
  21.         }
  22.     }
  24.     //只支援IpAuthenticationToken該身份
  25.     @Override
  26.     public boolean supports(Class> authentication) {
  27.         return (IpAuthenticationToken.class
  28.                 .isAssignableFrom(authentication));
  29.     }
  30. }

returnnewIpAuthenticationToken(ip,Arrays.asList(simpleGrantedAuthority));使用了IpAuthenticationToken的第二個建構式，傳回了一個已經經過認證的IpAuthenticationToken。

5.6 配置WebSecurityConfigAdapter

  1. @Configuration
  2. @EnableWebSecurity
  3. public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
  5.     //ip認證者配置
  6.     @Bean
  7.     IpAuthenticationProvider ipAuthenticationProvider() {
  8.         return new IpAuthenticationProvider();
  9.     }
  11.     //配置封裝ipAuthenticationToken的過濾器
  12.     IpAuthenticationProcessingFilter ipAuthenticationProcessingFilter(AuthenticationManager authenticationManager) {
  13.         IpAuthenticationProcessingFilter ipAuthenticationProcessingFilter = new IpAuthenticationProcessingFilter();
  14.         //為過濾器新增認證器
  15.         ipAuthenticationProcessingFilter.setAuthenticationManager(authenticationManager);
  16.         //重寫認證失敗時的跳轉頁面
  17.         ipAuthenticationProcessingFilter.setAuthenticationFailureHandler(new SimpleUrlAuthenticationFailureHandler("/ipLogin?error"));
  18.         return ipAuthenticationProcessingFilter;
  19.     }
  21.     //配置登入端點
  22.     @Bean
  23.     LoginUrlAuthenticationEntryPoint loginUrlAuthenticationEntryPoint(){
  24.         LoginUrlAuthenticationEntryPoint loginUrlAuthenticationEntryPoint = new LoginUrlAuthenticationEntryPoint
  25.                 ("/ipLogin");
  26.         return loginUrlAuthenticationEntryPoint;
  27.     }
  29.     @Override
  30.     protected void configure(HttpSecurity http) throws Exception {
  31.         http
  32.             .authorizeRequests()
  33.                 .antMatchers("/", "/home").permitAll()
  34.                 .antMatchers("/ipLogin").permitAll()
  35.                 .anyRequest().authenticated()
  36.                 .and()
  37.             .logout()
  38.                 .logoutSuccessUrl("/")
  39.                 .permitAll()
  40.                 .and()
  41.             .exceptionHandling()
  42.                 .accessDeniedPage("/ipLogin")
  43.                 .authenticationEntryPoint(loginUrlAuthenticationEntryPoint())
  44.         ;
  46.         //註冊IpAuthenticationProcessingFilter  註意放置的順序 這很關鍵
  47.         http.addFilterBefore(ipAuthenticationProcessingFilter(authenticationManager()), UsernamePasswordAuthenticationFilter.class);
  49.     }
  51.     @Override
  52.     protected void configure(AuthenticationManagerBuilder auth) throws Exception {
  53.         auth.authenticationProvider(ipAuthenticationProvider());
  54.     }
  56. }

WebSecurityConfigAdapter提供了我們很大的便利，不需要關註AuthenticationManager什麼時候被建立，只需要使用其暴露的 configure(AuthenticationManagerBuilderauth)便可以新增我們自定義的ipAuthenticationProvider。剩下的一些細節，註釋中基本都寫了出來。

5.7 配置SpringMVC

  1. @Configuration
  2. public class MvcConfig extends WebMvcConfigurerAdapter {
  4.     @Override
  5.     public void addViewControllers(ViewControllerRegistry registry) {
  6.         registry.addViewController("/home").setViewName("home");
  7.         registry.addViewController("/").setViewName("home");
  8.         registry.addViewController("/hello").setViewName("hello");
  9.         registry.addViewController("/ip").setViewName("ipHello");
  10.         registry.addViewController("/ipLogin").setViewName("ipLogin");
  12.     }
  14. }

頁面的具體內容和表單登入基本一致，可以在文末的原始碼中檢視。

5.8 執行效果

成功的流程

  • http://127.0.0.1:8080/訪問首頁，其中here連結到的地址為： http://127.0.0.1:8080/hello

  • 點選here，由於 http://127.0.0.1:8080/hello是受保護資源，所以跳轉到了校驗IP的頁面。此時若點選Sign In by IP按鈕，將會提交到/ipVerify端點，進行IP的認證。

  • 登入校驗成功之後，頁面被成功重定向到了原先訪問的

失敗的流程

  • 註意此時已經登出了上次的登入，並且，使用了localhost(localhost和127.0.0.1是兩個不同的IP地址，我們的記憶體中只有127.0.0.1的使用者,沒有localhost的使用者)

  • 點選here後，由於沒有認證過，依舊跳轉到登入頁面

  • 此時，我們發現使用localhost，並沒有認證成功，符合我們的預期

5.9 總結

一個簡單的使用Spring Security來進行驗證IP地址的登入demo就已經完成了，這個demo主要是為了更加清晰地闡釋Spring Security內部工作的原理設定的，其本身沒有實際的專案意義，認證IP其實也不應該透過Spring Security的過濾器去做，退一步也應該交給Filter去做（這個Filter不存在於Spring Security的過濾器鏈中），而真正專案中，如果真正要做黑白名單這樣的功能，一般選擇在閘道器層或者nginx的擴充套件模組中做。再次特地強調下，怕大家誤解。

最後祝大家國慶玩的開心~

本節的程式碼可以在github中下載原始碼：https://github.com/lexburner/spring-security-ipLogin

贊(0)
標籤：

相關推薦

熱門標籤

iOS (11238)微軟 (4955)Linux (4274)安全 (4180)Python (4161)效能 (3165)運維 (2774)最佳化 (2419).NET (2262)Google (2136)機器學習 (1795)併發 (1613)分散式 (1559)叢集 (1240)SQL (1174)Mysql (1060)區塊鏈 (1017)Docker (977)微服務 (922)面試 (919)Apache (743)NLP (725)Redis (719)Android (668)Git (640)架構師 (632)Nginx (630)Facebook (599)JVM (595)爬蟲 (476)

熱門文章

分享創造快樂

© 2024 知識星球   網站地圖