1.爆破专栏丨Spring Security系列教程之SpringSecurity中的源码密码加密
2.Spring Security实现HTTP基本认证详解
3.SpringSecurity中的核心过滤器介绍
4.基于Springboot+SpringSecurity+Activiti7实现的工作流系统可方便二次开发(附完整源码)
5.springsecurity中解密时如何解密的?
爆破专栏丨Spring Security系列教程之SpringSecurity中的密码加密
前言
本文将带您深入Spring Security密码加密机制的学习。Spring Security作为安全框架，源码自然包含密码加密内容。源码本篇将详细解释密码加密原理、源码Spring Security中的源码处理方案，特别是源码源码精灵手办BCryptPasswordEncoder的应用。此外，源码还会指导您如何使用BCryptPasswordEncoder进行加密，源码以及实现多密码加密方案共存。源码
一. 密码加密简介
散列加密概述：密码加密常采用的源码信息摘要算法，包括MD5、源码SHA系列等，源码将数据压缩成固定长度的源码字符串。
散列加密原理：通过压缩和混淆数据生成唯一指纹，源码确保数据安全。源码
盐的作用：为增加安全性，密码加密时加入随机盐值，确保即使明文相同，生成的密文也不同。
Spring Security密码处理：支持BCryptPasswordEncoder等方案，确保密码安全。
二. 利用BCryptPasswordEncoder进行加密
编写接口、配置加密算法、测试运行，实现密码加密。
1. 编写register接口
在UserController中添加register接口，网页源码生成对密码进行加密，注入PasswordEncoder对象。
2. 配置密码加密算法
在Security Config类中，配置使用BCryptPasswordEncoder，放行注册接口。
3. 测试运行
启动项目，测试/user/register接口，验证密码加密效果。
4. BCryptPasswordEncoder加解密原理
BCrypt随机生成盐值，确保密码明文相同，密文也不同。比对密码时，先提取盐值，再加密明文，最后对比生成的密文。
三. 利用其他Encoder进行加密实现
1. MessageDigestPasswordEncoder用法
使用MessageDigestPasswordEncoder实现，支持MD5、SHA等算法，配置时需指定算法名称。
2. DelegatingPasswordEncoder用法
利用DelegatingPasswordEncoder实现密码加密方案的动态切换，支持多种加密方式。
四. 源码解析
了解PasswordEncoder接口、默认实现BCryptPasswordEncoder、密码比对原理。
1. PasswordEncoder接口解读
接口定义密码加密和比对方法，andbase源码讲解实现密码安全。
2. matches()默认执行时机
自动调用matches方法进行密码比对，无需手动编码。
五. 实现多密码加密方案共存
1. 需求背景
项目改造时，需要更新密码加密方案，但不希望用户重新注册。
2. 实现过程
配置DelegatingPasswordEncoder，定义测试接口，测试共存效果。
3. 多密码方案并存实现原理
Spring Security通过配置不同PasswordEncoder实现密码加密方案的灵活管理。
Spring Security实现HTTP基本认证详解
前言
在上一章节中，我们搭建了第一个Spring Security项目，学习了如何利用Spring Security保护Java Web项目。然而，对于SpringSecurity的细节，还有很多需要深入了解。本文将从认证方式开始，与大家共同学习各种认证。
一. Spring Security的认证方式
认证概念：认证是判断系统中是否存在某用户，并判断其身份合法性，解决用户登录问题。其目的是保护系统隐私数据与资源，确保仅合法用户能访问资源。
认证方式：Spring Security中常见方式包括HTTP层面认证与表单认证，具体有HTTP基本认证、分页条源码Form表单认证、HTTP摘要认证。
二. HTTP基本认证
基本认证概述：在三种方式中，基本认证是最简单的一种。Spring Security 4.x默认采用基本认证，通过弹窗要求用户输入用户名和密码。每次请求时，Authorization头使用Base编码“用户名:密码”。尽管安全性较低，但它是现代认证的基础，Spring Security OAuth的默认认证方式也是如此。
基本认证核心API：执行流程包括过滤器、构建令牌、AuthenticationManager处理、转给Provider处理等步骤。具体实现步骤如代码所示，执行流程简单。
基本认证步骤：分为四步，包括发起请求、服务器返回响应并说明认证形式、客户端弹出对话框输入用户名密码、服务器解码验证信息。
基本认证弊端：无状态认证，无法携带Session信息，不支持Remember-Me功能。quartz源码改造用户名密码以明文形式传输，极易被窃听和重放攻击。
三. 代码实现
通过理论知识，让我们动手实现基本认证。创建SecurityConfig配置类，继承WebSecurityConfigurerAdapter，开启基本认证。链式编程风格符合设计模式。
代码结构：核心代码简短，项目包结构随个人创建，实现步骤包括创建配置类、启动项目。
四. Basic认证详解
实现基本认证后，本文将深入分析认证过程。Basic Authorization响应头包含WWW-Authenticate信息，分别表示认证类型、认证域。realm概念允许不同域请求时使用不同用户名/密码认证。
基本认证过程：响应码为，浏览器弹出对话框要求输入用户名/密码，信息进行Base编码后发送给后台认证。认证错误时，浏览器保持弹框；认证成功后，信息缓存在浏览器中，后续请求自动携带。
注销Basic认证：认证信息缓存在浏览器中，直到关闭浏览器才会销毁。前端可通过手动配置错误的Authorization或使用特定方法清除认证信息，但某些浏览器无效。
总结：通过几行代码实现基本认证，并了解了注销认证的方法。对于本文内容，欢迎分享你的见解或提问。我将提供Java学习资源，包括教程、源码等，助力你的学习进步。
SpringSecurity中的核心过滤器介绍
本文将介绍SpringSecurity中常用的过滤器及其加载过程。
一、常用的过滤器
常用的过滤器共有个，具体如下：
1. org.springframework.security.web.context.SecurityContextPersistenceFilter：这是第一个过滤器，其重要性不言而喻。它主要使用SecurityContextRepository在session中保存或更新一个SecurityContext，并将SecurityContext提供给后续过滤器使用，为后续filter建立所需的上下文。SecurityContext中存储了当前用户的认证和权限信息。
2. org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter：此过滤器用于继承SecurityContext到Spring异步执行机制中的WebAsyncManager，是spring整合必须的。
3. org.springframework.security.web.header.HeaderWriterFilter：向请求的header中添加响应的信息，可以在http标签内部使用security:headers来控制。
4. org.springframework.security.web.csrf.CsrfFilter：Csrf又称跨域请求伪造，SpringSecurity会对所有post请求验证是否包含系统生成的csrf的token信息，如果不包含则报错，起到防止csrf攻击的效果。
5. org.springframework.security.web.authentication.logout.LogoutFilter：匹配URL为/logout的请求，实现用户退出，清除认证信息。
6. org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter：认证操作全靠这个过滤器，默认匹配URL为/login且必须为POST请求。
7. org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter：如果没有在配置文件中指定认证页面，则由该过滤器生成一个默认的认证界面。
8. org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter：由此过滤器生成一个默认的退出登录页面。
9. org.springframework.security.web.authentication.www.BasicAuthenticationFilter：此过滤器会自动解析HTTP请求中头部名字为Authentication，且以Basic开头的头部信息。
. org.springframework.security.web.savedrequest.RequestCacheAwareFilter：通过HttpSessionRequestCache内部维护一个RequestCache，用于缓存HttpServletRequest。
. org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter：针对ServletRequest进行一次包装，使得request具有更加丰富的API。
. org.springframework.security.web.authentication.AnonymousAuthenticationFilter：当SecurityContextHolder中认证信息为空，则会创建一个匿名用户存储到SecurityContextHolder中，SpringSecurity为了兼容未登录的访问，也走了一套认证流程，只不过是一个匿名的身份。
. org.springframework.security.web.session.SessionManagementFilter：SecurityContextRepository限制同一个用户开启多个会话的数量。
. org.springframework.security.web.access.ExceptionTranslationFilter：异常转换过滤器位于整个SpringSecurityFilterChain的后方，用来转换整个链路中出现的异常。
. org.springframework.security.web.access.intercept.FilterSecurityInterceptor：获取所有配置资源的访问授权信息，根据SecurityContextHolder中存储的用户信息来决定其是否有权限。
二、过滤器加载过程
1. DelegatingFilterProxy：我们在web.xml中配置了一个名称为SpringSecurityFilterChain的过滤器DelegatingFilterProxy，接下来可以查看该源码。
2. FilterChainProxy：通过上面的源码分析我们发现其实创建的是FilterChainProxy这个过滤器，那我们来看下这个过滤器。
3. SecurityFilterChain和DefaultSecurityFilterChain：具体的实现类。
总结：通过上面的代码分析，SpringSecurity中要使用到的过滤器最终都保存在了DefaultSecurityFilterChain对象的List filter对象中。
基于Springboot+SpringSecurity+Activiti7实现的工作流系统可方便二次开发(附完整源码)
本文旨在介绍如何在基于SpringBoot和SpringSecurity的框架下集成Activiti7工作流引擎，实现工作流系统的二次开发。本文内容包括功能演示、二次开发与业务系统打通的方法、以及项目使用的示例。代码示例和完整源码可供有兴趣的开发者获取。
功能演示部分，通过模拟一个单据审批流程，展示如何设置审批权限、创建流程实例以及审批流程的流转。用户登录后可以在工作流界面查看并处理自己的审批任务。
二次开发与业务系统打通的方法分为两大部分：通用扩展点和系统与工作流框架的集成。通过封装通用接口，如流程定义、流程实例和审批任务的接口，实现对Activiti7框架的灵活扩展。对于具体的业务系统，如合同审批，可以绘制相关流程定义并绑定到业务中，通过调用框架API新建流程实例，从而实现审批流程的开启和审批任务的查询与处理。
项目使用示例中，通过JavaWeb通用脚手架和Vue前端框架搭建系统，确保代码结构清晰。引入所需的依赖，如SpringSecurity、oauth2等，以及Activiti7相关的服务和其他通用能力。具体代码实例和完整源码位于仓库中，供开发者获取和学习。
关于Activiti7的使用，本文至此结束。若有任何疑问或建议，欢迎在评论区留言或私信作者。提供的代码示例和完整源码可供有兴趣的开发者获取和学习。
springsecurity中解密时如何解密的?
在Spring Security中，密码解密的过程涉及使用BCryptPasswordEncoder类。每次输出的hashPass（散列密码）虽各异，但最终的匹配结果f总是为true，表示匹配成功。探索源码后，发现hashPass中实际包含了每次加密时生成的随机盐。
BCryptPasswordEncoder在进行密码匹配时，通过调用String hashpw(String password, String salt)方法。此方法接受两个参数：目标密码（如"admin"）和已加密密码（即hashPass）中的盐值。
假设一次hashPass为：$2a$$AxafsyVqKp.s9WAEYWYeIY9TKEoGLTEOSB3KUkoLtGsBKhCwe
其中，前部的随机盐（AxafsyVqKp.s9WAEYWYe）在匹配过程中会被重新提取出来。
因此，加密后的hashPass不仅包含了密码本身，还隐含了用于加密的随机盐。这使得在验证密码时，可以准确地复现加密过程，从而实现密码的匹配与解密。
