【转】使用SpringMVC创建Web工程并使用SpringSecurity进行权限控制的详细配置方法

原文链接：https://www.datalearner.com/blog/1051506305139364

工程github链接：https://github.com/df19900725/WebTemplate

使用SpringMVC框架搭建Web项目工程是目前非常流行的web项目创建方式。同时Spring Security也为我们提供了登录验证和权限控制等内容。在这篇博客中，我们将详细描述如何从0开始配置一个基于SpringMVC框架和SpringSecurity权限控制的网站。主要，需要实现搭建好Eclipse开发环境。可参考Eclipse的Web开发环境搭建——从零开始入门介绍。本项目已经上传到GitHub中，请查看https://github.com/df19900725/WebTemplate

• 一、创建Web项目
• 二、配置pom.xml文件
• 三、配置Web.xml
  • 4.1、applicationContext-database.xml
  • 4.2、applicationContext-servlet.xml
  • 4.3、spring-security.xml文件配置
• 五、创建首页

一、创建Web项目

在这里，我们首先创建一个Dynamic Web Project项目。填好项目名称之后，直接点击Finish即可（不用next，这里我们用后面默认的配置）。然后，右键单击项目名称，依次选择Configure - Convert To Maven Project。将该项目转换成Maven的项目。这样，一个基于Maven的Web项目就建好了。可能有人问为啥不直接使用Maven创建。因为Eclipse的Maven插件提供的Web原型版本太低，而且常年不更新，和新的jdk版本搭配在一起很容易出错。所以我们采用这种方式。

二、配置pom.xml文件

使用SpringMVC和SpringSecurity插件需要依赖一些包。我们使用Maven的方式添加，同时，我们还需要一些连接数据库的包。我们一同在下面加进去。把下面的插件添加之后，这个网站系统就支持SpringMVC和SpringSecurity的各项功能了。后面我们将一步一步说明。

1. <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
2. <modelVersion>4.0.0</modelVersion>
3. <groupId>hfutec</groupId>
4. <artifactId>WebTemplate</artifactId>
5. <version>0.0.1-SNAPSHOT</version>
6. <packaging>war</packaging>
8. <!-- 从这里开始是我自己添加的，下面这个build是指定网站开发环境的，我们使用jdk1.8，这个以上应该是Maven自动创建的 -->
9. <build>
10. <sourceDirectory>src</sourceDirectory>
11. <plugins>
12. <plugin>
13. <artifactId>maven-compiler-plugin</artifactId>
14. <version>3.6.1</version>
15. <configuration>
16. <source>1.8</source>
17. <target>1.8</target>
18. </configuration>
19. </plugin>
20. <plugin>
21. <artifactId>maven-war-plugin</artifactId>
22. <version>3.0.0</version>
23. <configuration>
24. <warSourceDirectory>WebContent</warSourceDirectory>
25. </configuration>
26. </plugin>
27. </plugins>
28. </build>
30. <dependencies>
32. <!-- Commons loggin类 -->
33. <dependency>
34. <groupId>commons-logging</groupId>
35. <artifactId>commons-logging</artifactId>
36. <version>1.1.1</version>
37. </dependency>
39. <!-- Apache commons 数据库工具类 -->
40. <dependency>
41. <groupId>commons-dbutils</groupId>
42. <artifactId>commons-dbutils</artifactId>
43. <version>1.6</version>
44. </dependency>
46. <!-- MySQL 驱动类 -->
47. <dependency>
48. <groupId>mysql</groupId>
49. <artifactId>mysql-connector-java</artifactId>
50. <version>5.1.34</version>
51. </dependency>
53. <!-- Alibaba 数据库连接池类 -->
54. <dependency>
55. <groupId>com.alibaba</groupId>
56. <artifactId>druid</artifactId>
57. <version>1.0.12</version>
58. </dependency>
60. <!-- JSTL 标签支持 -->
61. <dependency>
62. <groupId>jstl</groupId>
63. <artifactId>jstl</artifactId>
64. <version>1.2</version>
65. </dependency>
67. <!-- Spring Security 标签支持 -->
68. <dependency>
69. <groupId>org.springframework.security</groupId>
70. <artifactId>spring-security-taglibs</artifactId>
71. <version>4.0.2.RELEASE</version>
72. </dependency>
74. <!-- ******************************** Spring Security（页面权限控制） *********************************** -->
76. <dependency>
77. <groupId>org.springframework.security</groupId>
78. <artifactId>spring-security-web</artifactId>
79. <version>4.0.2.RELEASE</version>
80. </dependency>
82. <dependency>
83. <groupId>org.springframework.security</groupId>
84. <artifactId>spring-security-config</artifactId>
85. <version>4.0.2.RELEASE</version>
86. </dependency>
88. <!-- Spring Security 框架核心类 -->
89. <dependency>
90. <groupId>org.springframework.security</groupId>
91. <artifactId>spring-security-core</artifactId>
92. <version>4.0.2.RELEASE</version>
93. </dependency>
95. <!-- Spring MVC 框架类 -->
96. <dependency>
97. <groupId>org.springframework</groupId>
98. <artifactId>spring-webmvc</artifactId>
99. <version>4.1.4.RELEASE</version>
100. </dependency>
102. <!-- ******************************** Fast XML解析 *********************************** -->
103. <!-- fasterxml -->
104. <dependency>
105. <groupId>com.fasterxml.jackson.core</groupId>
106. <artifactId>jackson-core</artifactId>
107. <version>2.5.0</version>
108. </dependency>
109. <dependency>
110. <groupId>com.fasterxml.jackson.core</groupId>
111. <artifactId>jackson-databind</artifactId>
112. <version>2.5.0</version>
113. </dependency>
114. <dependency>
115. <groupId>com.fasterxml.jackson.core</groupId>
116. <artifactId>jackson-annotations</artifactId>
117. <version>2.5.0</version>
118. </dependency>
120. <!-- ******************************** Spring AOP *********************************** -->
121. <!-- https://mvnrepository.com/artifact/org.springframework/spring-aop -->
122. <dependency>
123. <groupId>org.springframework</groupId>
124. <artifactId>spring-aop</artifactId>
125. <version>4.3.6.RELEASE</version>
126. </dependency>
128. <!-- https://mvnrepository.com/artifact/org.aspectj/aspectjrt -->
129. <dependency>
130. <groupId>org.aspectj</groupId>
131. <artifactId>aspectjrt</artifactId>
132. <version>1.7.3</version>
133. </dependency>
135. <!-- https://mvnrepository.com/artifact/org.aspectj/aspectjweaver -->
136. <dependency>
137. <groupId>org.aspectj</groupId>
138. <artifactId>aspectjweaver</artifactId>
139. <version>1.8.10</version>
140. </dependency>
142. <!-- ******************************** 这是Google的一个工具类，可以方便处理数据的。可以不需要 *********************************** -->
143. <dependency>
144. <groupId>com.google.guava</groupId>
145. <artifactId>guava</artifactId>
146. <version>20.0</version>
147. </dependency>
149. <!-- ******************************** 这是阿里巴巴的Json工具类，一般做网站都需要使用Json *********************************** -->
150. <dependency>
151. <groupId>com.alibaba</groupId>
152. <artifactId>fastjson</artifactId>
153. <version>1.2.38</version>
154. </dependency>
156. </dependencies>
157. </project>

三、配置Web.xml

在上述操作完毕之后，我们的网站所所依赖的包就完毕了。现在我们讲一下Web.xml的配置。当我们去启动一个WEB项目时，容器包括（JBoss、Tomcat等）首先会读取项目web.xml配置文件里的配置，当这一步骤没有出错并且完成之后，项目才能正常地被启动起来。而一些Spring框架的监控都是在这里配置的（注意：配置条目的顺序要一样，因为它是按照顺序扫描加载的。顺序错了可能会导致出错）。我们右键项目中的WEB-INF文件夹，然后新建一个web.xml（有的时候创建项目可以勾选自动创建web.xml，这里我们手动建一个）。具体配置和说明如下：

1. <?xml version="1.0" encoding="UTF-8"?>
2. <web-app
3. xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
4. xmlns="http://xmlns.jcp.org/xml/ns/javaee"
5. xmlns:jsp="http://java.sun.com/xml/ns/javaee/jsp"
6. xsi:schemaLocation="http://xmlns.jcp.org/xml/ns/javaee http://xmlns.jcp.org/xml/ns/javaee/web-app_3_1.xsd"
7. metadata-complete="true" version="3.1">
9. <display-name>Web Template created by D.F.</display-name>
11. <!-- 这是欢迎页面，也就是指定项目启动的时候启动页面 -->
12. <welcome-file-list>
13. <welcome-file>/</welcome-file>
14. </welcome-file-list>
16. <!-- 这是session过期时间 -->
17. <session-config>
18. <session-timeout>1800</session-timeout>
19. </session-config>
21. <!-- 这里配置SpringMVC的监听器，也就是启动的时候SpringMVC会注册一些事件，然后监控系统的请求情况 -->
22. <listener>
23. <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
24. </listener>
25. <listener>
26. <listener-class>org.springframework.security.web.session.HttpSessionEventPublisher</listener-class>
27. </listener>
29. <!-- 这里配置编码过滤器，强制使用UTF-8，防止编码问题 -->
30. <filter>
31. <filter-name>encodingFilter</filter-name>
32. <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>
33. <init-param>
34. <param-name>encoding</param-name>
35. <param-value>UTF-8</param-value>
36. </init-param>
37. <init-param>
38. <param-name>forceEncoding</param-name>
39. <param-value>true</param-value>
40. </init-param>
41. </filter>
42. <filter-mapping>
43. <filter-name>encodingFilter</filter-name>
44. <url-pattern>/*</url-pattern>
45. </filter-mapping>
47. <!-- Spring Security 的过滤配置，表明请求需要经过这个类的过滤和判断 -->
48. <filter>
49. <filter-name>springSecurityFilterChain</filter-name>
50. <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
51. </filter>
52. <filter-mapping>
53. <filter-name>springSecurityFilterChain</filter-name>
54. <url-pattern>/*</url-pattern>
55. </filter-mapping>
57. <!-- 配置文件位置。表明如下位置的xml文件都将被扫描（这里的文件内容和作用后面我们会说到） -->
58. <context-param>
59. <param-name>contextConfigLocation</param-name>
60. <param-value>/WEB-INF/spring*.xml
61. /WEB-INF/applicationContext*.xml</param-value>
62. </context-param>
64. <!-- 这里是SpringMVC实现的Servlet类，表明请求需要通过该类 -->
65. <servlet>
66. <servlet-name>applicationContext</servlet-name>
67. <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
68. <load-on-startup>1</load-on-startup>
69. </servlet>
70. <servlet-mapping>
71. <servlet-name>applicationContext</servlet-name>
72. <url-pattern>/</url-pattern>
73. </servlet-mapping>
75. <!-- 这里后面就是服务软件请求的文件类型了。都一样。 -->
76. <servlet-mapping>
77. <servlet-name>default</servlet-name>
78. <url-pattern>*.css</url-pattern>
79. </servlet-mapping>
80. <servlet-mapping>
81. <servlet-name>default</servlet-name>
82. <url-pattern>*.js</url-pattern>
83. </servlet-mapping>
84. <servlet-mapping>
85. <servlet-name>default</servlet-name>
86. <url-pattern>*.ico</url-pattern>
87. </servlet-mapping>
88. <servlet-mapping>
89. <servlet-name>default</servlet-name>
90. <url-pattern>*.gif</url-pattern>
91. </servlet-mapping>
92. <servlet-mapping>
93. <servlet-name>default</servlet-name>
94. <url-pattern>*.jpg</url-pattern>
95. </servlet-mapping>
96. <servlet-mapping>
97. <servlet-name>default</servlet-name>
98. <url-pattern>*.png</url-pattern>
99. </servlet-mapping>
100. <servlet-mapping>
101. <servlet-name>default</servlet-name>
102. <url-pattern>*.bmp</url-pattern>
103. </servlet-mapping>
104. <servlet-mapping>
105. <servlet-name>default</servlet-name>
106. <url-pattern>*.jpeg</url-pattern>
107. </servlet-mapping>
108. <servlet-mapping>
109. <servlet-name>default</servlet-name>
110. <url-pattern>*.swf</url-pattern>
111. </servlet-mapping>
112. <servlet-mapping>
113. <servlet-name>default</servlet-name>
114. <url-pattern>*.flv</url-pattern>
115. </servlet-mapping>
116. <servlet-mapping>
117. <servlet-name>default</servlet-name>
118. <url-pattern>*.xml</url-pattern>
119. </servlet-mapping>
120. <servlet-mapping>
121. <servlet-name>default</servlet-name>
122. <url-pattern>*.txt</url-pattern>
123. </servlet-mapping>
124. <servlet-mapping>
125. <servlet-name>default</servlet-name>
126. <url-pattern>*.htm</url-pattern>
127. </servlet-mapping>
128. <servlet-mapping>
129. <servlet-name>default</servlet-name>
130. <url-pattern>*.html</url-pattern>
131. </servlet-mapping>
132. </web-app>

四、添加其他的配置文件
在web.xml的配置中，我们还加了一个其他配置文件。这里我们就在WEB-INF下面再加入三个配置文件，分别是applicationContext-database.xml、applicationContext-servlet.xml和spring-security.xml。我们将分别说明。

4.1、applicationContext-database.xml

这是阿里巴巴Druid数据连接池的配置。网站需要访问数据库，需要数据库连接池来管理数据库连接。我们使用的是druid工具。里面配置了用户名、密码、连接数、等待时间等等。不是本篇重点。我们只列出来，不说具体了。

1. <?xml version="1.0" encoding="UTF-8"?>
2. <beans
3. xmlns="http://www.springframework.org/schema/beans"
4. xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
5. xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">
7. <!-- 数据库连接池配置 -->
8. <bean id="dataSource" class="com.alibaba.druid.pool.DruidDataSource" destroy-method="close">
10. <property name="url"><value>jdbc:mysql://127.0.0.1:3306/Enterprise</value></property>
11. <property name="username"><value>root</value></property>
12. <property name="password"><value>11111111</value></property>
14. <!-- 配置初始化大小、最小、最大 -->
15. <property name="initialSize" value="1" />
16. <property name="minIdle" value="1" />
17. <property name="maxActive" value="20" />
19. <!-- 配置获取连接等待超时的时间 -->
20. <property name="maxWait" value="60000" />
22. <!-- 配置间隔多久才进行一次检测，检测需要关闭的空闲连接，单位是毫秒 -->
23. <property name="timeBetweenEvictionRunsMillis" value="60000" />
25. <!-- 配置一个连接在池中最小生存的时间，单位是毫秒 -->
26. <property name="minEvictableIdleTimeMillis" value="300000" />
28. <property name="validationQuery" value="SELECT 'x'" />
29. <property name="testWhileIdle" value="true" />
30. <property name="testOnBorrow" value="false" />
31. <property name="testOnReturn" value="false" />
33. <!-- 打开PSCache，并且指定每个连接上PSCache的大小 -->
34. <property name="poolPreparedStatements" value="true" />
35. <property name="maxPoolPreparedStatementPerConnectionSize" value="20" />
37. <!-- 配置监控统计拦截的filters -->
38. <property name="filters" value="stat" />
40. </bean>
42. </beans>

4.2、applicationContext-servlet.xml

这里主要配置SpringMVC的一些信息，包括对自动标注的支持，设置需要扫描的拦截器目录等。具体如下：

1. <?xml version="1.0" encoding="UTF-8"?>
2. <beans xmlns="http://www.springframework.org/schema/beans"
3. xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
4. xmlns:context="http://www.springframework.org/schema/context"
5. xmlns:aop="http://www.springframework.org/schema/aop"
6. xmlns:tx="http://www.springframework.org/schema/tx"
7. xmlns:mvc="http://www.springframework.org/schema/mvc"
8. xmlns:security="http://www.springframework.org/schema/security"
9. xsi:schemaLocation="http://www.springframework.org/schema/beans
10. http://www.springframework.org/schema/beans/spring-beans-4.0.xsd
11. http://www.springframework.org/schema/context
12. http://www.springframework.org/schema/context/spring-context-4.0.xsd
13. http://www.springframework.org/schema/aop
14. http://www.springframework.org/schema/aop/spring-aop-4.0.xsd
15. http://www.springframework.org/schema/mvc
16. http://www.springframework.org/schema/mvc/spring-mvc-4.0.xsd
17. http://www.springframework.org/schema/tx
18. http://www.springframework.org/schema/tx/spring-tx-4.0.xsd
19. http://www.springframework.org/schema/security
20. http://www.springframework.org/schema/security/spring-security-4.0.xsd" default-autowire="byName">
22. <mvc:annotation-driven>
23. <!-- 返回json数据，@response使用 -->
24. <mvc:message-converters register-defaults="true">
25. <bean class="org.springframework.http.converter.json.MappingJackson2HttpMessageConverter">
26. <property name="supportedMediaTypes">
27. <list>
28. <value>text/html;charset=UTF-8</value>
29. <value>application/json;charset=UTF-8</value>
30. </list>
31. </property>
32. </bean>
33. </mvc:message-converters>
34. </mvc:annotation-driven>
35. <!--end-->
37. <!-- 对静态资源放行 -->
38. <mvc:default-servlet-handler />
40. <context:annotation-config />
42. <!-- 扫描拦截器目录 -->
43. <context:component-scan base-package="org.test" />
45. <!-- 启用security对service层方法保护的注解 -->
46. <security:global-method-security jsr250-annotations="enabled" secured-annotations="enabled" pre-post-annotations="enabled"/>
48. <!-- 视图解析器，我们把所有的页面都放到views文件夹下，这里需要配置好 -->
49. <bean id="jspViewResolver" class="org.springframework.web.servlet.view.InternalResourceViewResolver">
50. <property name="viewClass" value="org.springframework.web.servlet.view.JstlView"/>
51. <property name="prefix" value="/WEB-INF/views/"/>
52. <property name="suffix" value=".jsp"/>
53. </bean>
55. </beans>

4.3、spring-security.xml文件配置

这个就是配置spring-security权限控制的文件了。具体如下：

1. <?xml version="1.0" encoding="UTF-8"?>
2. <beans:beans xmlns="http://www.springframework.org/schema/security"
3. xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
4. xmlns:beans="http://www.springframework.org/schema/beans"
5. xsi:schemaLocation="http://www.springframework.org/schema/beans
6. http://www.springframework.org/schema/beans/spring-beans-4.0.xsd
7. http://www.springframework.org/schema/security
8. http://www.springframework.org/schema/security/spring-security-4.0.xsd">
10. <!-- 配置为none的不经过任何spring的过滤器，一下主要是静态资源，我们不需要经过过滤器 -->
11. <http pattern="/resources/**" security="none" />
12. <http pattern="/sitemap.xml" security="none" />
13. <http pattern="/favicon.ico" security="none" />
15. <!-- 配置为permitAll允许所有已登录或者未用户访问，但依然经过过滤器处理。除此之外所有的页面都需要登录访问 -->
16. <http auto-config="true" use-expressions="true">
18. <intercept-url pattern="/" access="permitAll" />
19. <intercept-url pattern="/index*" access="permitAll" />
20. <intercept-url pattern="/signin*" access="permitAll" />
21. <intercept-url pattern="/login*" access="permitAll" />
22. <intercept-url pattern="/register*" access="permitAll" />
23. <intercept-url pattern="/invalidsession*" access="permitAll" />
24. <intercept-url pattern="/404*" access="none" />
26. <!-- 配置登录的路径，已经认证失败的页面，认证成功的页面 -->
27. <form-login login-page="/signin" authentication-failure-url="/signin?login_error" default-target-url="/query"/>
28. <logout logout-success-url="/query" delete-cookies="JSESSIONID" />
30. <!-- 配不同页面的权限，/admin下面需要role_admin权限，其他都可以 -->
31. <intercept-url pattern="/admin" access="hasRole('ROLE_ADMIN')" />
32. <intercept-url pattern="/**" access="hasAnyRole('ROLE_ADMIN','ROLE_USER')" />
34. <csrf disabled="true" />
35. <access-denied-handler error-page="/403" />
37. <remember-me data-source-ref="dataSource" token-validity-seconds="1209600" remember-me-parameter="remember-me" />
39. <session-management invalid-session-url="/">
40. <concurrency-control max-sessions="1"/>
41. </session-management>
43. </http>
45. <authentication-manager erase-credentials="false">
46. <authentication-provider>
47. <password-encoder ref="bcryptEncoder" />
48. <jdbc-user-service data-source-ref="dataSource" />
49. </authentication-provider>
50. </authentication-manager>
52. <beans:bean id="messageSource"
53. class="org.springframework.context.support.ReloadableResourceBundleMessageSource">
54. <beans:property name="basenames">
55. <beans:list>
56. <beans:value>classpath:myMessages</beans:value>
57. </beans:list>
58. </beans:property>
59. </beans:bean>
61. <!-- 配置加密的算法，表明在登录后密码需要加密验证 -->
62. <beans:bean name="bcryptEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder" />
64. </beans:beans>

在上述配置文件都创建好了之后，我们的目录应该如下所示（这里把第5步骤的创建的首页也放进来了。）

五、创建首页

好了。在所有的配置文件都写好之后，我们开始创建一个首页。首先，我们在WEB-INF文件夹下创建一个views文件夹。这个之前说过了，我们在配置文件中写了。我们创建一个简单的jsp页面，如下：

1. <%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>
3. <!DOCTYPE html>
4. <html lang="zh">
5. <head>
6. <title>首页</title>
7. <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
8. <meta http-equiv="pragma" content="no-cache" />
9. <meta http-equiv="cache-control" content="max-age=3600" />
10. <meta http-equiv="expires" content="0" />
11. <meta http-equiv="keywords" content="">
12. <meta http-equiv="description" content="">
13. <meta name="viewport" content="width=device-width, initial-scale=1">
15. </head>
16. <body>
18. <h1>你好</h1>
20. </body>
21. </html>

然后，我们需要创建一个Contoller来控制这个首页访问。在Java Resource下src上右键单击创建一个包，然后创建一个Java类，如下：

1. package org.test.controller;
3. import javax.servlet.http.HttpServletRequest;
5. import org.springframework.stereotype.Controller;
6. import org.springframework.web.bind.annotation.PathVariable;
7. import org.springframework.web.bind.annotation.RequestMapping;
8. import org.springframework.web.bind.annotation.ResponseBody;
9. import org.springframework.web.servlet.ModelAndView;
11. @Controller
12. public class ViewRedirectController {
14. @RequestMapping("/")
15. public ModelAndView index() {
16. ModelAndView mav = new ModelAndView();
17. mav.setViewName("/index");
18. return mav;
19. }
21. }

这里我们在类名上加上@Controller表明这是一个控制类，Spring监听器会把这个里面的方法加入到监听。然后我们创建了一个方法，声明@RequestMapping("/")表明这个方法是用来处理/请求的，就是我们常见的默认的首页。然后返回index这个页面。是使用setViewName("/index")方法。注意，这个类所在的包一定要和 applicationContext-servlet.xml 中配置的扫描的包要一致，至少要在那个包下面，负责会扫描不到这个控制类，就无法控制了。

好了，下面右键单击这个项目，点击Run As - Run on server之后，我们就可以启动这个系统（如果没有配置tomcat请先配置一下）。然后看到首页了。

本项目已经上传到GitHub中，请查看https://github.com/df19900725/WebTemplate