環境 Spring Boot 1.5.9.RELEASE Java 8 Maven 4.0.0 概要 Spring Securityを使用し、DBにあるログイン情報と照合し認証をする。 DBはH2DBを使用し、ORMはDomaを使用します。 はじめに Spring Inirializrでプロジェクトを生成します。 今回はORMにDomaを使用するので、注釈処理を設定しておきます。 コード デフォルトから変更しているもののみ記載します。 <dependencies> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-jdbc</artifactId> </dependency> <dependency> <groupId>org.springframework.bo
6.3.1. Overview¶ 本節では、Spring Securityが提供している認証機能について説明する。 認証処理は、アプリケーションを利用するユーザーの正当性を確認するための処理である。 ユーザーの正当性を確認するためのもっとも標準的な方法は、アプリケーションを使用できるユーザーをデータストアに登録しておき、 利用者が入力した認証情報（ユーザー名とパスワードなど）と照合する方法である。 ユーザーの情報を登録しておくデータストアにはリレーショナルデータベースを利用するのが一般的だが、ディレクトリサービスや外部システムなどを利用するケースもある。 また、利用者に認証情報を入力してもらう方式もいくつか存在する。 HTMLの入力フォームを使う方式やRFCで定められているHTTP標準の認証方式(Basic認証やDigest認証など)を利用するのが一般的だが、 OpenID認証やシングルサ
@Data @Entity @EntityListeners(AuditingEntityListener.class) --(1) public class Vendor implements Serializable { @Id @Column(name="vendor_id") private int vendorId; @Column(name="vendor_name") private int vendorName; @CreatedBy --(2) @Column(name="created_by") private String createdBy; @CreatedDate --(3) @Column(name="created_on") private LocalTime createdOn; @LastModifiedBy --(2) @Column(name="up
実装したソースは https://github.com/huruyosiathatena/springboot/tree/8bb72d41f62d28039f5c7d0ccda8f4036ecea8ca にあります。 ログインを実装する spring security を利用してログイン画面を作ります。今回は認証を行うだけで権限に基づいた制御は次回( http://huruyosi.hatenablog.com/entry/2015/08/10/015844 )で行います。 認証に利用するユーザ情報 DBに保存されているテーブルを利用します。 create table users ( user_id int auto_increment, login_id varchar(256), password varchar(256), display_name varchar(255), ena
Spring BootとSpring Securityのユーザ認証について、忘れがちになるので、備忘録φ(..)メモメモ 認証の方法はいくつかあるけど、今回は、 暫定対応時のインメモリDBと 本格対応時の独自ユーザテーブル の2つをメモφ(..)メモメモ まずはbuild.gradleにDependencyに追加する Spring Securityを使うには、spring-boot-starter-securityを追加 ロール/権限によるthymeleafのテンプレートの制御のため、thymeleaf-extras-springsecurity4も追加 (この記事では登場しません。。。まだこんど。。。) dependencies { //SpringBootのDependency compile('org.springframework.boot:spring-boot-starter-
今回は認証のパスワードをハッシュ化する部分についての話です。 パスワードのハッシュ化をもしSHA256などのハッシュ関数でハッシュ化しているのであれば、できればBCryptに乗り換えた方が良いよ、というのが今回の話です。 詳細はここが参考になります。 ようするにSHAは高速を考えて作られたので、パスワードのハッシュ関数向きではない、と。高速に実行できてしまうとそれだけレインボーテーブルの作成が容易になる、ということですからセキュアじゃないですね。 ただ、それでもBCryptとかを使えばストレッチングがいらないよ、という訳ではないようです。あくまで従来通り考え方はハッシュ関数＋ソルト＋ストレッチングです。 ただ、BCryptの実装であるjBCryptを使うとかなり扱いが楽になるのではないかと思います。どのように楽になるか書いてきます。 jBCryptの使い方 Scalaでも使えますが、今回は
概要 Spring Boot でログイン画面 + 一覧画面 + 登録画面の Webアプリケーションを作る ( その８ )( ログイン画面作成 ) の続きです。 今回の手順で確認できるのは以下の内容です。 パスワードを暗号化します。 検索/一覧画面のページネーション用に作成した form に自動で CSRF対策用の hidden が出力されない原因を調査します。 ログインエラー時に ID がクリアされるので、ID を残す方法があるか確認します。 下記の件はいろいろ調べましたが、そもそも実現する必要性がなさそうなので調べるのを止めました。調査中に分かったことで残しておきたい点だけ書いています。 最初に呼ばれた認証を必要とする URL が存在しない URL の場合にはログイン画面を表示せずに最初から 404 を返すか、ログインした後デフォルトページ ( http://localhost:8080
サイトにアクセスするとログインページが出て、ログインするとメニューページに行くというものを作ってみようと思います。 プロジェクトの作成 プロジェクトを作ってpom.xmlを編集します。まずはSpring Boot使うためのお約束として以下のものを追加します。 <parent> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-parent</artifactId> <version>1.2.5.RELEASE</version> </parent> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-web</artifactId> </dependency> <d
buildscript { repositories { mavenCentral() maven { url "https://plugins.gradle.org/m2/" } } dependencies { classpath "org.springframework.boot:spring-boot-gradle-plugin:${SPRING_BOOT_VERSION}" classpath "org.springframework:springloaded:${SPRING_LOADED_VERSION}" } } apply plugin: 'java' apply plugin: 'spring-boot' sourceCompatibility = "${JAVA_VERSION}" targetCompatibility = "${JAVA_VERSION}" rep
Spring BootをいろいろイジってみてSpring Securityについて簡単なメモを。 今回つかったもの Eclipse(4.4) JDK(1.8) Maven(3.0) Spring Tool Suite まずはpom.xmlに依存関係を追加する <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> 次に WebSecurityConfigurerAdapterを継承してconfigクラスを作成 URLによって権限を設定をするために configure(HttpSecurity)をOverrideする @Override protected void configure(HttpSec
Spring BootでOAuthログインを実現するには、Spring Security OAuthを利用するわけですが、 あまりドキュメントがなかったので備忘録を兼ねてメモっておきます。 とはいえ、大体は以下のページに書いてあるとおりですが。 この記事では、まずOAuthでのログインを実現した後、AngularJSなどのアプリケーションから利用される想定のAPIを作成し、そのAPIにユーザー権限によるアクセス制限を掛けるまでの手順を記載します。 要するに、動的画面遷移を中心に組み立てられたSPAっぽいアプリケーションで、ログインと認可を実現する方法をメモっておきます。 Spring Bootアプリケーションの作成 Spring Bootアプリケーションの作成には幾つか選択肢がありますが、ここではある程度スクラッチで作ることにします。 実際は、Webページ上から雛形プロジェクトをサクッと作
今回はSpring Bootで作ったWebアプリに対して簡易的な認証を行います。 参考 3章の5 「Spring Securityで認証・認可を追加」にSpring Securityの設定方法が色々と解説されています。 はじめてのSpring Boot―「Spring Framework」で簡単Javaアプリ開発 (I・O BOOKS) 作者: 槇俊明出版社/メーカー: 工学社発売日: 2014/11メディア: 単行本この商品を含むブログ (5件) を見る Spring Securityを依存関係に追加する basic認証には、Spring Boot版のSpring Securityを利用します。 Spring Securityが追加されることで、すべてのURLに対してbasic認証が適用されます。 <dependency> <groupId>org.springframework.boo
Spring Social - Connection の管理
前回の『Facebook に接続』で、Spring Social を使い Facebook との接続(Connection)を確立しました。今回は、確立した Connection をローカルユーザーアカウントと紐付けて DB で管理する部分を作ります。 ConnectionRepository と UsersConnectionRepository 前回のような直球型では、アプリケーションを起動する度に facebook との“OAuth2 ダンス”が必要になります。一度確立した Connection オブジェクトを永続化し、再利用する仕組みを用意すれば、そうした手間がなくなります。 Spring Social リファレンスの“2.3 Persisting connections”を読むと Connection 管理の中核は、永続化された各(ローカル)ユーザーの Connection オブ
SpringSecurityユーザをDBで管理、JPAでログインする
はじめに Spring Securityを使ってデータベースに保存されたユーザ、パスワードでログインする機能を作ってみたいと思います。 Spring Securityで規定されたusersテーブルのスキーマをそのまま使う分には、 Springの定義ファイルを編集するするだけでよいのですが このusersテーブルに他の項目を追加してログインセッションに置きたい場合は、カスタマイズが必要になります。 ログインが成功した場合、セッションキー「SPRING_SECURITY_CONTEXT」にusersテーブルの情報が置かれます。 カスタマイズとしては、UserDetailsインターフェイス(org.springframework.security.core.userdetails)実装クラスと UserDetailsServiceインターフェイス(org.springframework.secu
Spring Security で OAuth 2.0 Provider する
はじめに ついに Windows 8 にした。 XP のサポートが終了したというのもあったのだけれども Java 8 がインストールできなかったのが致命的だった。 .Net Framework 4.5 や PHP 5.5 このあたりが使えなくなったのは耐えていたのだけれど この春、Java に見捨てられてもう我慢できなくなった。 Java 8 が使えたらきっと今も XP 使ってると思う。 で、OAuth わたしにとって OAuth といえば Facebook なのですが 以前、Facebook のアプリを作る機会があり OAuth の認証処理に結構悩まされた。 リクエストが行ったり来たり、どのタイミングでが何が送られて来るのか？また何を送るのか？ と同時に向こう側の処理はどうなっているんだ！？ 相手を知ればこちら側の処理がもっと明確に見えてくるのではと思ったりした。 そんな訳で今回は、Sp
ちょーっと古い記事なのだけれど（実際今どきだったらOAuthとかだよね）、Spring Source社のブログ記事に“Spring Security in Google App Engine”というのがあって、気になってはいたけれどブックマークでとっておいてそのままになっていた。 今回はその記事を訳出してみた。Google社やSpring Source社のドキュメントは、他のプロジェクトとくらべて、使用する単語や時制、構文に気をつけていて、非常に読みやすい。それでもまぁ訳しておいた方がのちのち参照しやすいのもたしか。その程度の意図で。 原典は、“Spring Security in Google App Engine”（SpringSource Blog）。ルーク・テイラー氏の投稿です。 ＊ ＊ ＊ Google App EngineでSpring Securityを使う Spring S
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
WriDer's Blog