知識庫 / Spring / Spring Security RSS 訂閱

請注意我們如何使用類型安全的 API 方法 hasRole。

7. 登出

與 Spring Security 的許多其他方面一樣，登出也提供了框架強大的默認設置。

默認情況下，登出請求會失效會話，清除所有身份驗證緩存，清除 SecurityContextHolder，並重定向到登錄頁面。

以下是一個簡單的登出配置：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
      // ...
      .logout(withDefaults());
    return http.build();
}

然而，如果我們想要對可用的處理程序進行更精細的控制，以下是一個更完整的實現方案：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http, 
    LogoutSuccessHandler webSecurityUserLogoutHandler)
    throws Exception {
    http
      // ...
      .logout((logout) -> logout
        .logoutSuccessUrl("/")
        .invalidateHttpSession(true)
        .logoutSuccessHandler(webSecurityUserLogoutHandler)
        .deleteCookies("JSESSIONID")
      );
    return http.build();
}

@Bean
public LogoutSuccessHandler webSecurityUserLogoutHandler() {
    return (request, response, authentication) -> {
      System.out.println("User logged out successfully!");
      response.sendRedirect("/app");
    };
}

此配置提供了一個乾淨且安全的註銷流程，同時在處理註銷後操作方面提供了靈活性。

8. 身份驗證

讓我們看看另一種使用 Spring Security 實現身份驗證的方法。

8.1. 內存身份驗證

請回想一下，在最初階段，我們使用了內存配置：

@Bean
public UserDetailsService inMemoryUserDetailsService(
    PasswordEncoder passwordEncoder) {
    UserDetails user = User.builder()
      .username("user")
      .password(passwordEncoder.encode("password"))
      .roles("USER")
      .build();
    UserDetails admin = User.builder()
      .username("admin")
      .password(passwordEncoder.encode("password"))
      .roles("ADMIN")
      .build();
    return new InMemoryUserDetailsManager(user, admin);
}

8.2. JDBC 身份驗證

為了將其遷移到 JDBC，首先，我們在 h2 依賴項添加到我們的 pom.xml 中：

<dependency>
    <groupId>com.h2database</groupId>
    <artifactId>h2</artifactId>
    <scope>runtime</scope>
</dependency>

另外，我們需要在 application.properties 中配置 H2 數據庫：

spring.datasource.url=jdbc:h2:mem:testdb
spring.datasource.username=sa
spring.datasource.password=
spring.datasource.driver-class-name=org.h2.Driver
spring.sql.init.schema-locations=classpath:org/springframework/security/core/userdetails/jdbc/users.ddl

這定義了一個我們可以依賴的數據源，用於後續內容：

@Bean
public UserDetailsManager jdbcUserDetailsManager(DataSource dataSource,
    PasswordEncoder passwordEncoder) {
    JdbcUserDetailsManager jdbcUserDetailsManager = new JdbcUserDetailsManager(dataSource);
    UserDetails user = User.builder()
      .username("user")
      .password(passwordEncoder.encode("password"))
      .roles("USER")
      .build();
    UserDetails admin = User.builder()
      .username("admin")
      .password(passwordEncoder.encode("password"))
      .roles("ADMIN")
      .build();
    jdbcUserDetailsManager.createUser(user);
    jdbcUserDetailsManager.createUser(admin);
    return jdbcUserDetailsManager;
}

此外，我們需要設置一個嵌入式的 DataSource，該 DataSource 初始化時使用默認的用户模式。

當然，通過以上兩個示例，我們也需要定義 PasswordEncoder Bean，如文檔所述。Spring Security 提供了一個在 org/springframework/security/core/userdetails/jdbc/users.ddl 中。

我們使用 @Profile（inmemory 或 jdbc）來選擇哪些 UserDetailsManager Bean 應該處於活動狀態：

spring.profiles.active=inmemory

9. 結論

在本快速教程中，我們介紹了 Java 配置對於 Spring Security 的基礎知識，並重點展示了最簡單的配置場景的代碼示例。