浏览器模式下验证码存储策略
浏览器模式下，生成的短信验证码或者图形验证码是存在session里的，用户接收到验证码后携带过来做校验。
APP模式下验证码存储策略
在app场景下里是没有cookie信息的，请求里也就没有JSESSIONID，所以即使生成了验证码存在session里，你也接收到了验证码，但是没有JSEESIONID，校验你带过来的验证码时，会找不到对应的session，所以不能用session来存储验证码。
解决：在 生成 和 校验验证码的时候多带一个参数 ，设备id，生成验证码时，把生成的验证码和设备id一起存在外部存储里（数据库或redis里），校验的时候拿着设备id去找对应的验证码即可。
将验证码的存取策略代码抽取成接口，app和浏览器分别实现这个接口：
接口ValidateCodeRepository：
app的实现：
package com.imooc.security.app.validate.code.impl; import java.util.concurrent.TimeUnit; import org.apache.commons.lang.StringUtils; import org.slf4j.Logger; import org.slf4j.LoggerFactory; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.data.redis.core.RedisTemplate; import org.springframework.stereotype.Component; import org.springframework.web.context.request.ServletWebRequest; import com.imooc.security.core.validate.code.ValidateCode; import com.imooc.security.core.validate.code.ValidateCodeException; import com.imooc.security.core.validate.code.ValidateCodeRepository; import com.imooc.security.core.validate.code.ValidateCodeType; /** * redis验证码存取策略 * ClassName: RedisValidateCodeRepository * @Description: redis验证码存取策略 * @author lihaoyang * @date 2018年3月14日 */ @Component public class RedisValidateCodeRepository implements ValidateCodeRepository{ private Logger logger = LoggerFactory.getLogger(getClass()); @Autowired private RedisTemplate<Object, Object> redisTemplate; @Override public void save(ServletWebRequest request, ValidateCode code, ValidateCodeType validateCodeType) { String key = buildKey(request, validateCodeType); logger.info("--------->redis存进去了一个新的key："+key+"，value："+code+"<-----------"); redisTemplate.opsForValue().set(key, code, 30, TimeUnit.MINUTES); } @Override public ValidateCode get(ServletWebRequest request, ValidateCodeType validateCodeType) { Object value = redisTemplate.opsForValue().get(buildKey(request, validateCodeType)); if(value == null){ return null; } return (ValidateCode) value; } @Override public void remove(ServletWebRequest request, ValidateCodeType validateCodeType) { String key = buildKey(request, validateCodeType); logger.info("--------->redis删除了一个key："+key+"<-----------"); redisTemplate.delete(key); } /** * 构建验证码在redis中的key * @Description: 构建验证码在redis中的key * @param @return * @return String 验证码在redis中的key * @throws * @author lihaoyang * @date 2018年3月14日 */ private String buildKey(ServletWebRequest request , ValidateCodeType validateCodeType){ //获取设备id String deviceId = request.getHeader("deviceId"); if(StringUtils.isBlank(deviceId)){ throw new ValidateCodeException("deviceId为空，请求头中未携带deviceId参数"); } return "code:" + validateCodeType.toString().toLowerCase()+":"+deviceId; } }
application.properties里配置上redis：
#redis # Redis数据库索引（默认为0） spring.redis.database=0 # Redis服务器地址 spring.redis.host=127.0.0.1 # Redis服务器连接端口 spring.redis.port=6379 # Redis服务器连接密码（默认为空） spring.redis.password= # 连接池最大连接数（使用负值表示没有限制） spring.redis.pool.max-active=8 # 连接池最大阻塞等待时间（使用负值表示没有限制） spring.redis.pool.max-wait=-1 # 连接池中的最大空闲连接 spring.redis.pool.max-idle=8 # 连接池中的最小空闲连接 spring.redis.pool.min-idle=0 # 连接超时时间（毫秒） spring.redis.timeout=0
我是在windows上装了个redis，简单省事。
controller里生成验证码的地方，也换成了用 接口，具体的实现 看你引用app模块还是browser模块：
@GetMapping(SecurityConstants.DEFAULT_VALIDATE_CODE_URL_PREFIX+"/sms") public void createSmsCode(HttpServletRequest request,HttpServletResponse response) throws Exception{ //调验证码生成接口方式 ValidateCode smsCode = smsCodeGenerator.generator(new ServletWebRequest(request)); /** * 不能把验证码存在session了，调接口，app和browser不同实现 */ // sessionStrategy.setAttribute(new ServletWebRequest(request), SESSION_KEY_SMS, smsCode); validateCodeRepository.save(new ServletWebRequest(request) , smsCode, ValidateCodeType.SMS); //获取手机号 String mobile = ServletRequestUtils.getRequiredStringParameter(request, "mobile"); //发送短信验证码 smsCodeSender.send(mobile, smsCode.getCode()); }
验证码过滤器也换了：
/** * 短信验证码过滤器 * ClassName: ValidateCodeFilter * @Description: * 继承OncePerRequestFilter：spring提供的工具，保证过滤器每次只会被调用一次 * 实现 InitializingBean接口的目的： * 在其他参数都组装完毕的时候，初始化需要拦截的urls的值 * @author lihaoyang * @date 2018年3月2日 */ public class SmsCodeFilter extends OncePerRequestFilter implements InitializingBean{ private Logger logger = LoggerFactory.getLogger(getClass()); //认证失败处理器 private AuthenticationFailureHandler authenticationFailureHandler; //获取session工具类 private SessionStrategy sessionStrategy = new HttpSessionSessionStrategy(); private ValidateCodeRepository validateCodeRepository; //需要拦截的url集合 private Set<String> urls = new HashSet<>(); //读取配置 private SecurityProperties securityProperties; //spring工具类 private AntPathMatcher antPathMatcher = new AntPathMatcher(); /** * 重写InitializingBean的方法，设置需要拦截的urls */ @Override public void afterPropertiesSet() throws ServletException { super.afterPropertiesSet(); //读取配置的拦截的urls String[] configUrls = StringUtils.splitByWholeSeparatorPreserveAllTokens(securityProperties.getCode().getSms().getUrl(), ","); //如果配置了需要验证码拦截的url，不判断，如果没有配置会空指针 if(configUrls != null && configUrls.length > 0){ for (String configUrl : configUrls) { logger.info("ValidateCodeFilter.afterPropertiesSet()--->配置了验证码拦截接口:"+configUrl); urls.add(configUrl); } }else{ logger.info("----->没有配置拦验证码拦截接口<-------"); } //短信验证码登录一定拦截 urls.add(SecurityConstants.DEFAULT_LOGIN_PROCESSING_URL_MOBILE); } @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { //如果是 登录请求 则执行 // if(StringUtils.equals("/authentication/form", request.getRequestURI()) // &&StringUtils.equalsIgnoreCase(request.getMethod(), "post")){ // try { // validate(new ServletWebRequest(request)); // } catch (ValidateCodeException e) { // //调用错误处理器，最终调用自己的 // authenticationFailureHandler.onAuthenticationFailure(request, response, e); // return ;//结束方法，不再调用过滤器链 // } // } /** * 可配置的验证码校验 * 判断请求的url和配置的是否有匹配的，匹配上了就过滤 */ boolean action = false; for(String url:urls){ if(antPathMatcher.match(url, request.getRequestURI())){ action = true; } } if(action){ try { validate(new ServletWebRequest(request)); } catch (ValidateCodeException e) { //调用错误处理器，最终调用自己的 authenticationFailureHandler.onAuthenticationFailure(request, response, e); return ;//结束方法，不再调用过滤器链 } } //不是登录请求，调用其它过滤器链 filterChain.doFilter(request, response); } /** * 校验验证码 * @Description: 校验验证码 * @param @param request * @param @throws ServletRequestBindingException * @return void * @throws ValidateCodeException * @author lihaoyang * @date 2018年3月2日 */ private void validate(ServletWebRequest request) throws ServletRequestBindingException { //拿出session中的ImageCode对象 // ValidateCode smsCodeInSession = (ValidateCode) sessionStrategy.getAttribute(request, ValidateCodeController.SESSION_KEY_SMS); //根据不同的存储策略调用不同的获取方式 ValidateCode validateCode = validateCodeRepository.get(request, ValidateCodeType.SMS); //拿出请求中的验证码 String imageCodeInRequest = ServletRequestUtils.getStringParameter(request.getRequest(), SecurityConstants.DEFAULT_PARAMETER_NAME_CODE_SMS); //校验 if(StringUtils.isBlank(imageCodeInRequest)){ throw new ValidateCodeException("验证码不能为空"); } if(validateCode == null){ throw new ValidateCodeException("验证码不存在，请刷新验证码"); } if(validateCode.isExpired()){ //从session移除过期的验证码 // sessionStrategy.removeAttribute(request, ValidateCodeController.SESSION_KEY_SMS); validateCodeRepository.remove(request, ValidateCodeType.SMS); throw new ValidateCodeException("验证码已过期，请刷新验证码"); } if(!StringUtils.equalsIgnoreCase(validateCode.getCode(), imageCodeInRequest)){ throw new ValidateCodeException("验证码错误"); } //验证通过，移除session中验证码 // sessionStrategy.removeAttribute(request, ValidateCodeController.SESSION_KEY_SMS); validateCodeRepository.remove(request, ValidateCodeType.SMS); } public AuthenticationFailureHandler getAuthenticationFailureHandler() { return authenticationFailureHandler; } public void setAuthenticationFailureHandler(AuthenticationFailureHandler authenticationFailureHandler) { this.authenticationFailureHandler = authenticationFailureHandler; } public SecurityProperties getSecurityProperties() { return securityProperties; } public void setSecurityProperties(SecurityProperties securityProperties) { this.securityProperties = securityProperties; } public ValidateCodeRepository getValidateCodeRepository() { return validateCodeRepository; } public void setValidateCodeRepository(ValidateCodeRepository validateCodeRepository) { this.validateCodeRepository = validateCodeRepository; } }
注意SmsCodeFilter 这个类里，由于这个类不是由Spring管理的，所以这里边不能注入 ValidateCodeRepository ，只能将其作为成员变量，生成get、set，在new SmsCodeFilter 的类里，再注入ValidateCodeRepository为成员变量，再给SmsCodeFilter set进去
/** * 资源服务器，和认证服务器在物理上可以在一起也可以分开 * ClassName: ImoocResourceServerConfig * @Description: TODO * @author lihaoyang * @date 2018年3月13日 */ @Configuration @EnableResourceServer public class ImoocResourceServerConfig extends ResourceServerConfigurerAdapter{ //自定义的登录成功后的处理器 @Autowired private AuthenticationSuccessHandler imoocAuthenticationSuccessHandler; //自定义的认证失败后的处理器 @Autowired private AuthenticationFailureHandler imoocAuthenticationFailureHandler; //读取用户配置的登录页配置 @Autowired private SecurityProperties securityProperties; @Autowired private SmsCodeAuthenticationSecurityConfig smsCodeAuthenticationSecurityConfig; @Autowired private ValidateCodeRepository validateCodeRepository; @Override public void configure(HttpSecurity http) throws Exception { //~~~-------------> 图片验证码过滤器 <------------------ ValidateCodeFilter validateCodeFilter = new ValidateCodeFilter(); validateCodeFilter.setValidateCodeRepository(validateCodeRepository); //验证码过滤器中使用自己的错误处理 validateCodeFilter.setAuthenticationFailureHandler(imoocAuthenticationFailureHandler); //配置的验证码过滤url validateCodeFilter.setSecurityProperties(securityProperties); validateCodeFilter.afterPropertiesSet(); //~~~-------------> 短信验证码过滤器 <------------------ SmsCodeFilter smsCodeFilter = new SmsCodeFilter(); smsCodeFilter.setValidateCodeRepository(validateCodeRepository); //验证码过滤器中使用自己的错误处理 smsCodeFilter.setAuthenticationFailureHandler(imoocAuthenticationFailureHandler); //配置的验证码过滤url smsCodeFilter.setSecurityProperties(securityProperties); smsCodeFilter.afterPropertiesSet(); http .addFilterBefore(smsCodeFilter, UsernamePasswordAuthenticationFilter.class) // .apply(imoocSocialSecurityConfig)//社交登录 // .and() //把验证码过滤器加载登录过滤器前边 .addFilterBefore(validateCodeFilter, UsernamePasswordAuthenticationFilter.class) //----------表单认证相关配置--------------- .formLogin() .loginPage(SecurityConstants.DEFAULT_UNAUTHENTICATION_URL) //处理用户认证BrowserSecurityController .loginProcessingUrl(SecurityConstants.DEFAULT_LOGIN_PROCESSING_URL_FORM) .successHandler(imoocAuthenticationSuccessHandler)//自定义的认证后处理器 .failureHandler(imoocAuthenticationFailureHandler) //登录失败后的处理 .and() //-----------授权相关的配置 --------------------- .authorizeRequests() // /authentication/require：处理登录，securityProperties.getBrowser().getLoginPage():用户配置的登录页 .antMatchers(SecurityConstants.DEFAULT_UNAUTHENTICATION_URL, securityProperties.getBrowser().getLoginPage(),//放过登录页不过滤，否则报错 SecurityConstants.DEFAULT_LOGIN_PROCESSING_URL_MOBILE, SecurityConstants.SESSION_INVALID_PAGE, SecurityConstants.DEFAULT_VALIDATE_CODE_URL_PREFIX+"/*").permitAll() //验证码 .anyRequest() //任何请求 .authenticated() //都需要身份认证 .and() .csrf().disable() //关闭csrf防护 .apply(smsCodeAuthenticationSecurityConfig);//把短信验证码配置应用上 } }
启动demo项目，获取验证码，注意需要在请求头里带上设备id
生成验证码：
redis:
登录：
响应token：
登录成功，redis清除验证码
就能拿着token访问controller了：
{ "password": null, "username": "13812349876", "authorities":[ { "authority": "ROLE_USER" }, { "authority": "admin" } ], "accountNonExpired": true, "accountNonLocked": true, "credentialsNonExpired": true, "enabled": true, "userId": "13812349876" }
代码在github ：https://github.com/lhy1234/spring-security
欢迎关注个人公众号一起交流学习：
