Custom Implementation Example
本指南介绍如何通过基于会话的身份验证构建完整的自定义安全实现。您将通过从头开始实现这四个核心接口，了解它们是如何协同工作的。
大多数应用程序应该使用Spring Security
Spring Security集成会自动配置此处显示的所有内容。只有在您有特定要求或不使用Spring Boot的情况下，才构建自定义安全性。
您将构建的内容
一个包含四个类的工作安全系统：
- SecurityConfiguration - 定义安全行为和重定向位置
- SecurityContext - 使用HTTP会话跟踪谁已登录
- SecurityManager - 协调安全检查并提供登录/注销功能
- SecurityRegistrar - 在应用程序启动时将所有内容连接在一起
这个示例使用基于会话的存储，但是您可以使用数据库查询、LDAP或任何其他身份验证后端实现相同的接口。
组件间的协同工作原理
流程：
SecurityRegistrar在启动时运行，创建管理器，注册评估器，并附加观察者SecurityManager协调所有内容—它向评估器提供上下文和配置SecurityContext通过读取HTTP会话回答“谁已登录？”SecurityConfiguration对于登录和访问被拒绝页面回答“重定向在哪里？”Evaluators使用上下文和配置作出访问决策
第1步：定义安全配置
配置告诉安全系统如何工作以及将用户重定向到何处：
SecurityConfiguration.java
package com.securityplain.security;
import com.webforj.router.history.Location;
import com.webforj.router.security.RouteSecurityConfiguration;
import java.util.Optional;
/**
* 应用程序的安全配置。
*
* <p>
* 定义在需要身份验证或访问被拒绝时将用户重定向到何处。
* </p>
*/
public class SecurityConfiguration implements RouteSecurityConfiguration {
@Override
public boolean isEnabled() {
return true;
}
@Override
public boolean isSecureByDefault() {
return false;
}
@Override
public Optional<Location> getAuthenticationLocation() {
return Optional.of(new Location("/login"));
}
@Override
public Optional<Location> getDenyLocation() {
return Optional.of(new Location("/access-denied"));
}
}
isEnabled() = true- 安全处于活动状态isSecureByDefault() = false- 路由是公共的，除非标注（使用true要求所有路由默认都需要身份验证）/login- 未经过身份验证的用户去的地方/access-denied- 有权限但未获得访问的已认证用户去的地方
第2步：实现安全上下文
该上下文跟踪谁已登录。此实现使用HTTP会话存储用户信息：
工作原理：
isAuthenticated()检查会话中是否存在用户主体getPrincipal()从会话存储中检索用户名hasRole()检查用户的角色集是否包含指定角色getAttribute()/setAttribute()管理自定义安全属性Environment.getSessionAccessor()提供线程安全的会话访问
第3步：创建安全管理器
管理器协调安全决策。它扩展了AbstractRouteSecurityManager，该类处理评估器链和访问拒绝：
工作原理：
- 扩展
AbstractRouteSecurityManager以继承评估器链逻辑 - 提供
getConfiguration()和getSecurityContext()的实现 - 添加
login()用于验证用户并将凭证存储在会话中 - 添加
logout()清除会话并重定向到登录页面 - 使用
SessionObjectTable进行简单的会话存储 - 将自身存储在
ObjectTable中以便于全局访问
第4步：在启动时将所有内容连接起来
注册器在应用程序启动时连接所有部分：
SecurityRegistrar.java
package com.securityplain.security;
import com.webforj.App;
import com.webforj.AppLifecycleListener;
import com.webforj.annotation.AppListenerPriority;
import com.webforj.router.Router;
import com.webforj.router.security.RouteSecurityObserver;
import com.webforj.router.security.evaluator.AnonymousAccessEvaluator;
import com.webforj.router.security.evaluator.DenyAllEvaluator;
import com.webforj.router.security.evaluator.PermitAllEvaluator;
import com.webforj.router.security.evaluator.RolesAllowedEvaluator;
/**
* 在应用程序启动期间注册路由安全组件。
*
* <p>
* 使用路由器设置安全管理器和评估器。
* </p>
*/
@AppListenerPriority(1)
public class SecurityRegistrar implements AppLifecycleListener {
/**
* {@inheritDoc}
*/
@Override
public void onWillRun(App app) {
// 创建安全管理器
SecurityManager securityManager = new SecurityManager();
securityManager.saveCurrent(securityManager);
// 按优先级注册内置评估器
securityManager.registerEvaluator(new DenyAllEvaluator(), 0);
securityManager.registerEvaluator(new AnonymousAccessEvaluator(), 1);
securityManager.registerEvaluator(new PermitAllEvaluator(), 2);
securityManager.registerEvaluator(new RolesAllowedEvaluator(), 3);
// 创建安全观察者并附加到路由器
RouteSecurityObserver securityObserver = new RouteSecurityObserver(securityManager);
Router router = Router.getCurrent();
if (router != null) {
router.getRenderer().addObserver(securityObserver);
}
}
}
注册监听器：
创建 src/main/resources/META-INF/services/com.webforj.AppLifecycleListener 文件，并 添加：
com.securityplain.security.SecurityRegistrar
这会注册您的AppLifecycleListener，以便在应用程序启动时运行。
工作原理：
- 提前运行（
@AppListenerPriority(1)），以便在加载路由之前设置安全性 - 创建安全管理器并全局存储
- 按优先级顺序注册内置评估器（低数字优先运行）
- 创建拦截导航的观察者
- 将观察者附加到路由器，以便安全检查自动发生
运行此过程后，所有导航的安全性都处于活动状态。
使用您的实现
创建登录视图
以下视图使用Login组件。
LoginView.java
package com.securityplain.views;
import com.securityplain.security.SecurityManager;
import com.webforj.component.Composite;
import com.webforj.component.login.Login;
import com.webforj.router.Router;
import com.webforj.router.annotation.FrameTitle;
import com.webforj.router.annotation.Route;
import com.webforj.router.history.Location;
import com.webforj.router.security.annotation.AnonymousAccess;
@Route("/login")
@FrameTitle("登录")
@AnonymousAccess
public class LoginView extends Composite<Login> {
private final Login self = getBoundComponent();
public LoginView() {
self.onSubmit(e -> {
var result = SecurityManager.getCurrent().login(
e.getUsername(), e.getPassword()
);
if (result.isGranted()) {
Router.getCurrent().navigate(new Location("/"));
} else {
self.setError(true);
self.setEnabled(true);
}
});
self.whenAttached().thenAccept(c -> self.open());
}
}