表單登入

Spring Security 支援透過 HTML 表單提供使用者名稱和密碼。本節詳細介紹基於表單的認證在 Spring Security 中如何工作。

本節探討基於表單的登入在 Spring Security 中如何工作。首先，我們來看看使用者是如何被重定向到登入表單的。

圖 1. 重定向到登入頁面

上圖基於我們的 SecurityFilterChain 圖表構建。

number 1 首先，使用者向未經授權的資源 (/private) 發出未經認證的請求。

number 2 Spring Security 的 AuthorizationFilter 透過丟擲 AccessDeniedException 來表示未經身份驗證的請求被“拒絕”。

number 3 由於使用者未認證，ExceptionTranslationFilter 啟動認證並使用配置的 AuthenticationEntryPoint 傳送重定向到登入頁面。在大多數情況下，AuthenticationEntryPoint 是 LoginUrlAuthenticationEntryPoint 的例項。

number 4 瀏覽器請求重定向到的登入頁面。

number 5 應用程式中的某些部分必須渲染登入頁面。

當提交使用者名稱和密碼時，UsernamePasswordAuthenticationFilter 透過從 HttpServletRequest 例項中提取使用者名稱和密碼來建立一個 UsernamePasswordAuthenticationToken，它是一種 Authentication 型別。UsernamePasswordAuthenticationFilter 擴充套件了 AbstractAuthenticationProcessingFilter，因此下面的圖表應該看起來非常相似

圖 2. 認證使用者名稱和密碼

該圖基於我們的 SecurityFilterChain 圖表構建。

number 1 當用戶提交他們的使用者名稱和密碼時，UsernamePasswordAuthenticationFilter 透過從 HttpServletRequest 例項中提取使用者名稱和密碼來建立一個 UsernamePasswordAuthenticationToken，它是一種 Authentication 型別。

number 2 接下來，UsernamePasswordAuthenticationToken 被傳入 AuthenticationManager 例項進行認證。AuthenticationManager 的具體實現取決於使用者資訊的儲存方式。

number 3 如果身份驗證失敗，則為“失敗”。

SecurityContextHolder 被清除。
RememberMeServices.loginFail 被呼叫。如果未配置記住我功能，則此操作為空操作。請參閱 Javadoc 中的 RememberMeServices 介面。
AuthenticationFailureHandler 被呼叫。請參閱 Javadoc 中的 AuthenticationFailureHandler 類。

number 4 如果身份驗證成功，則為“成功”。

SessionAuthenticationStrategy 會收到新登入的通知。請參閱 Javadoc 中的 SessionAuthenticationStrategy 介面。
Authentication 在 SecurityContextHolder 上設定。請參閱 Javadoc 中的 SecurityContextPersistenceFilter 類。
RememberMeServices.loginSuccess 被呼叫。如果未配置記住我功能，則此操作為空操作。請參閱 Javadoc 中的 RememberMeServices 介面。
ApplicationEventPublisher 釋出一個 InteractiveAuthenticationSuccessEvent。
AuthenticationSuccessHandler 被呼叫。通常，這是一個 SimpleUrlAuthenticationSuccessHandler，它會將請求重定向到我們在重定向到登入頁面時由 ExceptionTranslationFilter 儲存的請求。

預設情況下，Spring Security 表單登入是啟用的。然而，一旦提供了任何基於 Servlet 的配置，就必須明確提供基於表單的登入。以下示例顯示了一個最小的、明確的 Java 配置。

表單登入

Java
XML
Kotlin

public SecurityFilterChain filterChain(HttpSecurity http) {
	http
		.formLogin(withDefaults());
	// ...
}

<http>
	<!-- ... -->
	<form-login />
</http>

open fun filterChain(http: HttpSecurity): SecurityFilterChain {
	http {
		formLogin { }
	}
	// ...
}

在上述配置中，Spring Security 渲染了一個預設的登入頁面。大多數生產應用程式需要自定義登入表單。

以下配置演示瞭如何提供自定義登入表單。

自定義登入表單配置

Java
XML
Kotlin

public SecurityFilterChain filterChain(HttpSecurity http) {
	http
		.formLogin((form) -> form
			.loginPage("/login")
			.permitAll()
		);
	// ...
}

<http>
	<!-- ... -->
	<intercept-url pattern="/login" access="permitAll" />
	<form-login login-page="/login" />
</http>

open fun filterChain(http: HttpSecurity): SecurityFilterChain {
	http {
		formLogin {
			loginPage = "/login"
			permitAll()
		}
	}
	// ...
}

在 Spring Security 配置中指定登入頁面時，您負責渲染該頁面。以下 Thymeleaf 模板生成一個符合 /login 登入頁面的 HTML 登入表單。

登入表單 - src/main/resources/templates/login.html

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org">
	<head>
		<title>Please Log In</title>
	</head>
	<body>
		<h1>Please Log In</h1>
		<div th:if="${param.error}">
			Invalid username and password.</div>
		<div th:if="${param.logout}">
			You have been logged out.</div>
		<form th:action="@{/login}" method="post">
			<div>
			<input type="text" name="username" placeholder="Username"/>
			</div>
			<div>
			<input type="password" name="password" placeholder="Password"/>
			</div>
			<input type="submit" value="Log in" />
		</form>
	</body>
</html>

關於預設 HTML 表單有幾個關鍵點

表單應向 /login 執行 post 請求。
表單需要包含一個 CSRF 令牌，該令牌由 Thymeleaf 自動包含。
表單應在名為 username 的引數中指定使用者名稱。
表單應在名為 password 的引數中指定密碼。
如果找到名為 error 的 HTTP 引數，則表示使用者未能提供有效的使用者名稱或密碼。
如果找到名為 logout 的 HTTP 引數，則表示使用者已成功登出。

許多使用者除了自定義登入頁面之外，不需要更多。但是，如果需要，您可以透過附加配置自定義前面顯示的所有內容。

如果您使用 Spring MVC，您需要一個控制器將 GET /login 對映到我們建立的登入模板。以下示例顯示了一個最小的 LoginController

LoginController

Java
Kotlin

@Controller
class LoginController {
	@GetMapping("/login")
	String login() {
		return "login";
	}
}

@Controller
class LoginController {
    @GetMapping("/login")
    fun login(): String {
        return "login"
    }
}