用户登出

用户登出的动作是实际上是清除Session中的用户数据，开发的方法如下：

配置文件中加上登出的功能和对应的路径
在JSP页面中添加一个登出按钮
在登录表单页面中加入登出的消息

先来修改配置文件：

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().anyRequest().authenticated()
        .and()
        .formLogin().loginPage("/showMyLoginPage").loginProcessingUrl("/authenticateTheUser")
        .permitAll()
        .and().logout().permitAll();
}

这里加入了.and()用来开启另外一个配置，然后配置了.logout().permitAll()，这表示添加了默认的/logout路径用于登出。和用于提交登录表单的地址一样，这个/logout路径也无需编写控制器。注意这个方法默认只接受POST请求，所以要用一个空表单发一个POST请求到这个地址。当有POST请求发到这个地址的时候，Spring Security会让会话失效，然后重定向到登录页面，并且会加上一个参数?logout。因为加上了?logout参数，所以可以用JSTL在这里也做一个提示。现在在登录后的页面上加入一个logout按钮，需要在一个表单里：

<%@ page contentType="text/html;charset=UTF-8" language="java" %>
<%@ taglib prefix="form" uri="http://www.springframework.org/tags/form" %>
<html>
<head>
    <title>Spring Security学习</title>
</head>
<body>
<p>欢迎登录</p>
<form:form method="post" action="${pageContext.request.contextPath}/logout">
    <button type="submit">Logout</button>
</form:form>

</body>
</html>

最后修改登录页面，如果有logout参数就显示一段信息：

<c:if test="${param.logout != null}">
    <p style="color: brown">You have logged out!</p>
</c:if>

然后启动项目来实验一下，成功了，这就是用户登录和登出的初步。

CSRF

CSRF已经很熟悉了，来看一下Spring里如何在表单中埋CSRF token。 Spring Security使用Synchronizer Token Pattern，每一个请求都包含一个session和cookie，其中有一个随机生成的token，Spring Security每次都会验证这个token是否有效，这一切都是自动进行的。 CSRF主要用于Web应用，如果做一个不使用浏览器的服务，则不一定要开启CSRF。要使用CSRF，必须使用POST请求，<form:form>自动会生成CSRF token字段，在刚才我们的登录表单里，可以看到有一个隐藏的部分：

<input type="hidden" name="_csrf" value="8f2b80b2-5295-4559-8d7c-be16186a5908">

这个就是CSRF token。如果不使用表单标签，那么就需要手动来添加CSRF字段。将登录表单的<form:from>修改成不使用Spring MVC 表单标签的<form>，此时登录，即使输入正确的用户名和密码，也会被服务器报403响应。这个时候就需要手工添加CSRF信息如下：

<form action="" method="post">
    <input type="hidden" name="${_csrf.parameterName}" value="${_crsf.token}">
</form>

虽然名字有点怪，但是这么写了以后，确实能够生成CSRF TOKEN，也就可以正常登录了。在Spring Security中关闭CSRF的方法是配置方法中http.csrf().disable()。

显示用户信息

在用户登录的功能里，常见的是显示用户的名称，很多网站在登录之后都会显示名称，其实后台就是如何从session中获取用户信息，这里需要学习一下。我们想在登录后的页面里显示用户的姓名和角色等信息，Spring Security为JSP提供了特殊的标签库用于显示用户相关信息，这个标签叫做Spring Security JSP Tag Library。我们需要在POM中添加这个依赖，然后就可以在JSP页面中使用这个标签库来显示用户信息了。需要添加的依赖如下：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-taglibs</artifactId>
    <version>${springsecurity.version}</version>
</dependency>

在JSP页面中导入这个标签库：

<%@ taglib prefix="security" uri="http://www.springframework.org/security/tags" %>

之后就可以使用标签了，这两个标签比较长：

<p>
    User: <security:authentication property="principal.username"/>
    <br><br>
    Roles: <security:authentication property="principal.authorities"/>
    <br><br>
</p>

注意，这里用户名是正确的，角色显示自动将我们设置的角色字符串加上了[ROLE_****]。注意ROLE还可以同时配置多个：

.withUser(users.username("jenny").password("test123").roles("ADMIN"，"MANAGER"))

这样配置的话，在页面里显示出来就是：

Roles: [ROLE_ADMIN, ROLE_MANAGER]

用户登录登出和展示用户名的内容基本上了解了，然后就是权限，也就是基于角色来控制可以访问哪些URL。