SpringSecurity

 controller中登录请求配置

    @RequestMapping("/toLogin")
    public String toLogin(){
        return "views/login";
    }

 

.新建配置类SecurityConfig，配置用户登录，实现不同用户不同访问权限

//AOP实现，不更改其他代码，安全框架代替拦截器
//Enable注解表示开启功能
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter{

    //授权
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //首页所有人可以访问，功能页指定权限访问
        //请求授权规则
        http.authorizeRequests()
                .antMatchers("/").permitAll()
                .antMatchers("/level1/**").hasRole("vip1")
                .antMatchers("/level2/**").hasRole("vip2")
                .antMatchers("/level3/**").hasRole("vip3");

        //没有权限默认跳转至登录页
        http.formLogin();
    }

    //认证
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //此处手动添加用户名密码，一般从DB中取出
        //密码编码:passwordEncoder
        //springsecurity中新增很多加密方法
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())
                .withUser("alan").password(new BCryptPasswordEncoder().encode("123")).roles("vip1")
                .and()
                .withUser("root").password(new BCryptPasswordEncoder().encode("123")).roles("vip1","vip2","vip3");
    }
}

 

配置注销功能，引入springsecurity-thymeleaf的整合包，启用页面中sec的标签功能，同时加入申明，

显示登录或注销按钮的判断逻辑，已经登录则只显示注销，没有登录则只显示登录

<!-- 可能存在版本兼容问题，可尝试使用springsecurity5-->
<dependency>
    <groupId>org.thymeleaf.extras</groupId>
    <artifactId>thymeleaf-extras-springsecurity4</artifactId>
    <version>3.0.4.RELEASE</version>
</dependency>

//认证中开启注销功能
http.logout().logoutSuccessUrl("/");

 

 

 注销可能存在报错，原因是需要关闭csrf功能，CSRF跨站点请求伪造

 

 

页面上配置sec，指定权限显示指定内容

 

 

自定义登录页面，将默认的login指向tologin，开启记住用户名密码功能，

此处注意前后端传参的参数名不一致问题

默认的login页面，自带参数username和password，如果我们在前端的用户名和密码参数名和默认不一致，

则必须在自定义登录页的时候配置自定义的参数名