Spring Security 学习之HTTP基本认证和HTTP摘要认证

HTTP基本认证

1. 简介

在HTTP中，基本认证是一种用来允许Web浏览器或其他客户端程序在请求时提供用户名和口令形式的身份凭证的一种登录验证方式。

在发送之前是以用户名追加一个冒号然后串接上口令，并将得出的结果字符串再用Base64算法编码。例如，提供的用户名是Aladdin、口令是open sesame，则拼接后的结果就是Aladdin:open sesame，然后再将其用Base64编码，得到QWxhZGRpbjpvcGVuIHNlc2FtZQ==。最终将Base64编码的字符串发送出去，由接收者解码得到一个由冒号分隔的用户名和口令的字符串。

虽然对用户名和口令的Base64算法编码结果很难用肉眼识别解码，但它仍可以极为轻松地被计算机所解码，就像其容易编码一样。编码这一步骤的目的并不是安全与隐私，而是为将用户名和口令中的不兼容的字符转换为均与HTTP协议兼容的字符集。

2. Spring Security配置

Spring对其进行内置支持，所以配置超简单，<security:http-basic /> 覆盖自动配置就搞定了。

<code><</code><code>security:http</code> <code>auto-config</code><code>=</code><code>"true"</code><code>></code>

<code> </code><code><</code><code>security:intercept-url</code> <code>pattern</code><code>=</code><code>"/hello"</code>

<code> </code><code>access</code><code>=</code><code>"ROLE_ADMIN"</code> <code>/></code>

<code> </code><code><</code><code>security:intercept-url</code> <code>pattern</code><code>=</code><code>"/**"</code> <code>access</code><code>=</code><code>"ROLE_USER"</code> <code>/></code>

<code> </code><code><</code><code>security:http-basic</code> <code>/></code>

<code> </code><code></</code><code>security:http</code><code>></code>

3. 小结

HTTP Basic认证需要浏览器支持（当然绝大部分浏览器都支持），弹出的认证窗口是浏览器实现的而非应用提供的。由于密码几乎是以明文方式传送，所以极其不安全，生产环境一般不会使用这种认证。

HTTP摘要认证

HTTP摘要认证可以看做是HTTP基本认证的升级版，解决了HTTP基本认证最大的缺点，即将传送的密码加密，而且是使用不可逆的MD5加密算法。

HTTP摘要认证配置稍微复杂点，需要更改entry-point-ref，和增加custom-filter替换原来的HTTP基本认证Filter。

由于使用自定义Filter，所以不能同时使用auto-config。

对DigestAuthenticationFilter bean，我们可以通过passwordAlreadyEncoded属性指定密码是否已经加密，Spring Security Web库中有DigestAuthUtils类可以用来做HTTP 摘要加密，但该类对包外不可见，所以自己可以拷贝实现一个备用。

<code><?</code><code>xml</code> <code>version</code><code>=</code><code>"1.0"</code> <code>encoding</code><code>=</code><code>"UTF-8"</code><code>?></code>

<code><</code><code>beans</code> <code>xmlns</code><code>=</code><code>"http://www.springframework.org/schema/beans"</code>

<code> </code><code>xmlns:xsi</code><code>=</code><code>"http://www.w3.org/2001/XMLSchema-instance"</code> <code>xmlns:security</code><code>=</code><code>"http://www.springframework.org/schema/security"</code>

<code> </code><code>xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.1.xsd</code>

<code> </code><code>http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.2.xsd"></code>

<code> </code><code><</code><code>bean</code> <code>id</code><code>=</code><code>"digestFilter"</code> <code>class=</code>

<code> </code><code>"org.springframework.security.web.authentication.www.DigestAuthenticationFilter"></code>

<code> </code><code><</code><code>property</code> <code>name</code><code>=</code><code>"userDetailsService"</code> <code>ref</code><code>=</code><code>"userService"</code><code>/></code>

<code> </code><code><</code><code>property</code> <code>name</code><code>=</code><code>"authenticationEntryPoint"</code> <code>ref</code><code>=</code><code>"digestEntryPoint"</code><code>/></code>

<code> </code><code><</code><code>bean</code> <code>id</code><code>=</code><code>"digestEntryPoint"</code> <code>class=</code>

<code> </code><code>"org.springframework.security.web.authentication.www.DigestAuthenticationEntryPoint"></code>

<code> </code><code><</code><code>property</code> <code>name</code><code>=</code><code>"realmName"</code> <code>value</code><code>=</code><code>"com.stevex.demo"</code><code>/></code>

<code> </code><code><</code><code>property</code> <code>name</code><code>=</code><code>"key"</code> <code>value</code><code>=</code><code>"acegi"</code><code>/> </code>

<code> </code><code><</code><code>property</code> <code>name</code><code>=</code><code>"nonceValiditySeconds"</code> <code>value</code><code>=</code><code>"30"</code><code>/></code>

<code> </code><code><</code><code>security:http</code> <code>entry-point-ref</code><code>=</code><code>"digestEntryPoint"</code><code>></code>

<code> </code><code><</code><code>security:intercept-url</code> <code>pattern</code><code>=</code><code>"/admin"</code>

<code> </code><code><</code><code>security:intercept-url</code> <code>pattern</code><code>=</code><code>"/list"</code> <code>access</code><code>=</code><code>"ROLE_USER"</code> <code>/></code>

<code> </code><code><</code><code>security:logout</code> <code>/></code>

<code> </code><code><</code><code>security:custom-filter</code> <code>ref</code><code>=</code><code>"digestFilter"</code> <code>position</code><code>=</code><code>"BASIC_AUTH_FILTER"</code> <code>/></code>

<code> </code><code><</code><code>security:authentication-manager</code><code>></code>

<code> </code><code><</code><code>security:authentication-provider</code><code>></code>

<code> </code><code><</code><code>security:user-service</code> <code>id</code><code>=</code><code>"userService"</code><code>></code>

<code> </code><code><</code><code>security:user</code> <code>authorities</code><code>=</code><code>"ROLE_USER"</code> <code>name</code><code>=</code><code>"stevex"</code>

<code> </code><code>password</code><code>=</code><code>"stevex"</code> <code>/></code>

<code> </code><code><</code><code>security:user</code> <code>authorities</code><code>=</code><code>"ROLE_USER, ROLE_ADMIN"</code>

<code> </code><code>name</code><code>=</code><code>"admin"</code> <code>password</code><code>=</code><code>"admin"</code> <code>/></code>

<code> </code><code></</code><code>security:user-service</code><code>></code>

<code> </code><code></</code><code>security:authentication-provider</code><code>></code>

<code> </code><code></</code><code>security:authentication-manager</code><code>></code>

<code></</code><code>beans</code><code>></code>

HTTP摘要MD5密码生成实现

<code>public</code> <code>class</code> <code>DigestUtil {</code>

<code> </code><code>public</code> <code>static</code> <code>void</code> <code>main(String[] args) {</code>

<code> </code><code>System.out.println(encodePasswordInA1Format(</code><code>"stevex"</code><code>,</code><code>"com.stevex.demo"</code><code>,</code><code>"stevex"</code><code>));</code>

<code> </code><code>static</code> <code>String encodePasswordInA1Format(String username, String realm, String password) {</code>

<code> </code><code>String a1 = username + </code><code>":"</code> <code>+ realm + </code><code>":"</code> <code>+ password;</code>

<code> </code><code>return</code> <code>md5Hex(a1);</code>

<code> </code><code>static</code> <code>String md5Hex(String data) {</code>

<code> </code><code>MessageDigest digest;</code>

<code> </code><code>digest = MessageDigest.getInstance(</code><code>"MD5"</code><code>);</code>

<code> </code><code>} </code><code>catch</code> <code>(NoSuchAlgorithmException e) {</code>

<code> </code><code>throw</code> <code>new</code> <code>IllegalStateException(</code><code>"No MD5 algorithm available!"</code><code>);</code>

<code> </code><code>return</code> <code>new</code> <code>String(Hex.encode(digest.digest(data.getBytes())));</code>

摘要访问认证有意成为一个安全性的折衷，它意图代替非加密的HTTP基本认证，但是它没有被设计为替换强认证协议，实际使用也不多。

当然HTTP摘要认证也是需要浏览器支持的，弹出的验证窗口来自浏览器而非应用提供，经过测试，个人感觉Firefox支持比Chrome好。

本文转自sarchitect 51CTO博客，原文链接：http://blog.51cto.com/stevex/1358043，如需转载请自行联系原作者

Spring Security 学习之HTTP基本认证和HTTP摘要认证

继续阅读

SpringMVC的启动过程源码分析1 SpringMVC 配置XML的方式启动2 SpringMVC纯注解模式启动

CQ V1.0分词bates(基于双数组tire树)—应该是目前最快的中文分词算法

Command Network(POJ 3164)---定根最小树形图模板题题目描述输入格式输出格式输入样例输出样例分析源程序

Java Spring 框架

开源低带宽语音编解码器

241 Different Ways to Add Parentheses（C代码版）

【趋高机器视觉】机器视觉技术原理解析及解决方案

CSMA/CD1． CSMA/CD的概述2． CSMA 的工作原理3． CSMA/CD控制规程及特点4． CSMA/CD协议5． CSMA/CD的优点6．结束语

极大似然法(ML)与最大期望法(EM)

C++ 第十五周报告1--《冒泡法排序》

SpringCloud微服务（四）之ribbon笔记ribbon是什么？入门案例自定义均衡负载算法

笔试面试题目：滑动窗口(二)

数据结构与算法（27）——排序（二）

Dijkstra--简易版（最短路径）

GitHub连夜封杀！这份阿里 10W 字内部 Java 字面试手册到底有多强？

hdu7108哈希