HTTP请求

在Spring Security中的很多内容校验都是通过对HTTP请求中的数据项进行的判断

请求报文

基于RestClient插件理解请求报文

RestClient是VSCode的API测试插件,创建后缀为.http的文件则会被VSCode识别成Rest Client的工具文件

Get请求测试

构建Get请求

@GetMapping("/01")
public String firstApi() {
	return "Hello World";
}

测试Get请求

• 直接编写Get请求头内容并发送请求

GET http://localhost:8080/test/01

• 由于没有认证，Response Status为401
• 使用Basic Auth的方式添加请求头【注意：Basic后面需要跟base64编码的用户名和密码，但是Rest Client为了方便允许使用user + password的方式进行添加】
• 添加后发送请求

GET http://localhost:8080/test/01
Authorization: Basic user:0baf3007-ffa6-4ce1-96ea-efbb356cf3bd

• 请求发送成功，返回Hello World

Put请求测试

构建Put请求

@PutMapping("/02")
public String secApi(@RequestParam String name) {
	return "Hello " + name;
}

测试PUT请求

• 直接编写Put请求头内容以及Authentication请求头并发送请求

PUT http://localhost:8080/test/02?name=Jack
Authorization: Basic user a08a4450-a0ff-4bdb-9b96-d31835ff2b40

• 发现请求始终提示403
• 开启对于security的debug日志级别

logging.level.org.springframework.security.web=DEBUG

• 发现日志中错误：Invalid CSRF token found for http://localhost:8080/test/02?name=Jack
• 添加security配置代码，预先关闭csrf filter

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf(AbstractHttpConfigurer::disable)
                .httpBasic(Customizer.withDefaults())
                .formLogin(form -> form.loginPage("/"));
    }
}

• 再次发送请求，返回Hello Jack

Post请求测试

构建Post请求

@PostMapping("/03")
public String thiApi(@RequestBody User user) {
	return "Hello " + user.getName();
}

@Data
private class User {
	String name;
	String gender;
}

测试Post请求

• 直接编写Post请求头内容，Authentication请求头以及请求体并发送请求

POST http://localhost:8080/test/03
Authorization: Basic user 5c11e9f9-c9d8-4322-8e5e-03fc36d91e6e

{
    "name": "Susan",
    "gender": "Man"
}

• 请求返回415 Unsupported Media Type
• 添加Content-Type请求头

POST http://localhost:8080/test/03
Authorization: Basic user 5c11e9f9-c9d8-4322-8e5e-03fc36d91e6e
Content-Type: application/json

{
    "name": "Susan",
    "gender": "Man"
}

• 再次发送请求，返回Hello Susan

HTTP响应

响应报文

常用认证/授权相关状态码

• 401 - Unauthorized 未认证
• 403 - Forbidden 未授权

Http Basic Auth认证流程