```
> 静态资源问题，如果用户是访问静态资源，如果直接写在`template`方式引入资源会找不到，因为默认资源都放在`static`目录下载的。
#### 什么时候该用这种测试
##### 1. **验证控制器的业务逻辑**
- `@WebMvcTest` 本质上是用来验证 **控制器层的行为**，而不是渲染出来的页面。它帮助你测试控制器是否能正确处理 HTTP 请求、是否返回正确的视图名称或正确的响应状态码等。
- 比如，你可以测试一个 `GET /home` 请求是否返回了预期的视图名称 `"index"`，或者返回的状态码是否是 `200 OK`，而这些正是你在控制器中希望验证的部分。**这与页面渲染无关**，所以它不会显示页面内容，也不会出现渲染时的误差。
##### 2. **关注点分离**
- 使用 `@WebMvcTest` 进行单元测试能够将 **Web 层** 与 **业务逻辑层**（Service、Repository）进行解耦。通过这种方式，你可以专注于测试控制器层的 HTTP 请求和响应，而不需要担心 Service 层的逻辑是否正确，或者数据库的连接是否正常。
- 控制器层和页面渲染是两个不同的关注点。**控制器层的目标是处理请求、确定视图名称、返回模型数据**等，而页面渲染本身通常由前端技术或模板引擎处理，更多是浏览器中的前端渲染过程。
##### 3. **通过 Mock 数据模拟请求和响应**
- 在 `@WebMvcTest` 中，`MockMvc` 会模拟请求并验证响应，它不会执行实际的页面渲染或显示，只会检查你定义的 **控制器输出** 是否符合预期。因此，它能有效避免浏览器渲染过程中的误差。
- 比如，`MockMvc` 可以验证你的控制器是否正确返回了某个 HTML 页面的视图名称，而不用关注 HTML 的具体内容。如果你的目标是确保控制器的逻辑没有错误，这种方式是非常高效的。
##### 4. **测试时更快速且更简洁**
- 通过 `@WebMvcTest` 测试时，你只加载 Web 层的相关组件，不需要启动整个应用的上下文，因此测试速度通常更快。
- 它让你能够快速定位问题。例如，如果测试失败，你可以很清楚地知道是控制器中的视图名称、请求参数的处理，还是其他的 HTTP 相关操作出了问题。反而如果进行实际的浏览器渲染测试，可能涉及到浏览器兼容性、前端细节等问题，会增加复杂度。
##### 5. **避免不必要的页面渲染**
- 事实上，控制器的核心功能并不依赖于页面渲染。控制器应该保证的是：
- 正确处理请求
- 返回适当的视图名称和模型数据
- 设置正确的响应状态码和其他 HTTP 相关的参数
- 页面渲染通常是通过模板引擎（如 Thymeleaf、JSP）完成的，而 `@WebMvcTest` 仅仅验证的是 **控制器的行为**，例如它返回的是正确的视图名称（而不是真的生成 HTML 页面）。
##### 6. **不同类型的测试互为补充**
- 你可以把
```
@WebMvcTest
```
和 端到端测试（如集成测试或 UI 测试）结合起来使用：
- **`@WebMvcTest`** 用于测试控制器的行为、请求路径、视图名称等。
- **端到端测试** 可以通过实际浏览器或工具（如 Selenium）来模拟用户操作，查看页面是否正确渲染，验证 HTML 是否按预期显示。
## 访问控制
请求地址时返回对应的网页文件
- `@RestController`用于返回对象格式的内容，在后面会使用`ModelAndView`可以返回网页文件
- `@Controller`用于返回网页文件
### 环境要求
```xml
使用RestController返回页面信息
``` > 其中`modelAndView.addObject("message", "这是消息内容");`是可选的 #### 使用方式2 在控制器方法上使用`ModelAndView` ```java @GetMapping("page/test2") public ModelAndView test2(ModelAndView modelAndView) { modelAndView.addObject("hello", "你好"); modelAndView.setViewName("page/test2"); return modelAndView; } ``` ## 向session共享数据 在 Spring MVC 中，**Session** 是用于存储用户会话期间的数据的一种机制。每个用户访问的应用程序都将拥有一个唯一的会话。通过 `HttpSession`，可以在用户的会话中存储一些数据，直到用户关闭浏览器或会话过期。 Spring MVC 提供了多种方式来与 `HttpSession` 进行交互，下面详细介绍如何通过 `HttpSession` 向 Session 共享数据。 ### 1. **通过 `HttpSession` 操作 Session 数据** 在 Spring MVC 控制器中，您可以通过 `HttpSession` 对象来存储和读取会话数据。 #### 示例：将数据添加到 Session ```java @Controller public class SessionController { @RequestMapping("/setSessionData") public String setSessionData(HttpSession session) { // 将数据存储到 Session 中 session.setAttribute("username", "JohnDoe"); session.setAttribute("age", 30); return "sessionSet"; // 返回视图名 } @RequestMapping("/getSessionData") public String getSessionData(HttpSession session, Model model) { // 从 Session 中获取数据 String username = (String) session.getAttribute("username"); Integer age = (Integer) session.getAttribute("age"); model.addAttribute("username", username); model.addAttribute("age", age); return "sessionData"; // 返回视图名 } } ``` **URL 请求：** - `GET /setSessionData` 会将数据 `"username": "JohnDoe"` 和 `"age": 30` 存储到 Session 中。 - `GET /getSessionData` 会从 Session 中获取并显示存储的值。 ### 2. **使用 `@SessionAttributes` 注解** `@SessionAttributes` 注解用于将控制器中的某些模型属性放入 Session 中。这种方式比直接操作 `HttpSession` 更为方便和简洁，特别是当需要共享多个模型属性时。 #### 示例：使用 `@SessionAttributes` ```java @Controller @SessionAttributes("user") public class UserController { // 在模型中添加用户对象 @RequestMapping("/setUser") public String setUser(Model model) { User user = new User("John", 30); model.addAttribute("user", user); return "userSet"; } // 从 Session 中获取用户对象 @RequestMapping("/getUser") public String getUser(@ModelAttribute("user") User user, Model model) { model.addAttribute("user", user); return "userDetails"; } } ``` **URL 请求：** - `GET /setUser` 会将 `user` 对象放入 Session 中。 - `GET /getUser` 会从 Session 中获取 `user` 对象。 `@SessionAttributes` 注解不仅可以放入 Session 中，还可以与 `@ModelAttribute` 注解结合使用，确保模型数据保持在 Session 中。 ### 3. **使用 `@ModelAttribute` 注解** `@ModelAttribute` 注解允许将数据放入模型中，并且在方法调用前通过 `Model` 传递给视图。如果和 `@SessionAttributes` 一起使用，它可以将属性直接添加到 `HttpSession`。 #### 示例：使用 `@ModelAttribute` 和 `@SessionAttributes` ```java @Controller @SessionAttributes("cart") public class CartController { // 在模型中创建并存储购物车 @ModelAttribute("cart") public Cart createCart() { return new Cart(); // 创建一个空的购物车对象 } // 添加商品到购物车 @RequestMapping("/addToCart") public String addToCart(@ModelAttribute("cart") Cart cart, @RequestParam("item") String item) { cart.addItem(item); // 将商品添加到购物车 return "cartUpdated"; } // 显示购物车内容 @RequestMapping("/viewCart") public String viewCart(@ModelAttribute("cart") Cart cart, Model model) { model.addAttribute("cart", cart); return "viewCart"; } } ``` **URL 请求：** - `GET /addToCart?item=Apple` 会将 `Apple` 添加到 `cart` 中。 - `GET /viewCart` 会显示购物车中的内容。 ### 4. **通过 `@RequestParam` 或 `@PathVariable` 获取 Session 数据** 如果在请求中需要通过路径变量或请求参数传递数据并存储到 Session 中，可以结合 `@RequestParam` 或 `@PathVariable` 来实现。 #### 示例：使用 `@RequestParam` 存储 Session 数据 ```java @Controller public class SessionController { @RequestMapping("/setSession/{username}") public String setSessionData(@PathVariable("username") String username, HttpSession session) { session.setAttribute("username", username); return "sessionSet"; } @RequestMapping("/getSession") public String getSessionData(HttpSession session, Model model) { String username = (String) session.getAttribute("username"); model.addAttribute("username", username); return "sessionData"; } } ``` **URL 请求：** - `GET /setSession/JohnDoe` 会将 `"username": "JohnDoe"` 存储到 Session 中。 - `GET /getSession` 会从 Session 中获取并显示 `username`。 ### 5. **删除 Session 数据** 如果希望在某个操作后清除 Session 中的某些数据，可以使用 `HttpSession` 提供的 `removeAttribute` 方法。 #### 示例：删除 Session 数据 ```java @Controller public class SessionController { @RequestMapping("/removeSessionData") public String removeSessionData(HttpSession session) { session.removeAttribute("username"); // 删除指定的属性 return "sessionRemoved"; } } ``` **URL 请求：** - `GET /removeSessionData` 会从 Session 中删除 `"username"` 属性。 ### 6. **Session 过期与清理** 默认情况下，Spring MVC 的 `HttpSession` 会话会在用户关闭浏览器后过期，或者会话超时（默认30分钟）。可以在 `web.xml` 或应用的配置类中设置会话超时： #### 示例：设置 Session 超时 ```xmlWelcome, admin!
You are not an admin!
...
```
- 如果 `isActive` 为 `true`，设置 `class="active"`，否则为 `inactive`。
### 10. **`th:classappend` / `th:classprepend`**
分别在现有的 `class` 属性上追加或前置新类。
```html
...
...
```
- `th:classappend` 会将新的类追加到现有类的后面。
- `th:classprepend` 会将新的类添加到现有类的前面。
### 11. **`th:id`**
设置元素的 `id` 属性。
```html
```
- 设置 `input` 元素的 `id` 为 `${elementId}` 的值。
### 12. **`th:action`**
设置表单的 `action` 属性。
```html
```
- 设置表单的 `action` 为 `/submitForm`。
### 13. **`th:style`**
设置元素的 `style` 属性。
```html
```
- 动态设置 `style` 属性，`${color}` 的值会成为 `color` 样式的值。
### 14. **`th:fragment`**
定义一个可重用的片段，通常在模板中调用。
```html
Welcome,
Active
Inactive
Unknown
```
- 根据 `${status}` 的值，渲染对应的 `span` 元素。
### 20. **`th:object`**
用来为表单元素绑定一个对象。
```html
```
- `th:object` 绑定整个表单到 `user` 对象。
- `th:field` 用于绑定每个表单字段到对象的属性。
### 21. **`th:href` / `th:src`**
用于动态设置 URL 值。
```html
Profile
Error
```
如果验证失败，错误消息将显示在 `` 中。如果没有错误，它会显示默认的 "Error" 文本。
## SpringSecurity
### 密码转换器（Password Encoder）
Spring Security 提供了多种密码转换器（Password Encoder），这些转换器用于对用户密码进行加密和验证。常见的密码转换器包括：
1. **BCryptPasswordEncoder**：
- 使用 **BCrypt** 算法对密码进行加密。
- 是最常用的密码加密方案，具有强大的加密性，并且支持自动加盐（salt），防止暴力破解攻击。
- 示例：
```java
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
```
2. **NoOpPasswordEncoder**：
- 不对密码进行加密，直接返回明文密码。
- 主要用于开发和测试环境，**不推荐在生产环境中使用**。
- 示例：
```java
@Bean
public PasswordEncoder passwordEncoder() {
return NoOpPasswordEncoder.getInstance();
}
```
3. **Pbkdf2PasswordEncoder**：
- 使用 **PBKDF2** 算法进行密码加密。
- 提供较强的安全性，并且支持对密码进行哈希。
- 示例：
```java
@Bean
public PasswordEncoder passwordEncoder() {
return new Pbkdf2PasswordEncoder();
}
```
4. **Argon2PasswordEncoder**：
- 使用 **Argon2** 算法对密码进行加密。
- Argon2 是目前被认为最强的密码哈希算法，支持内存密集型计算，从而防止硬件加速破解。
- 示例：
```java
@Bean
public PasswordEncoder passwordEncoder() {
return new Argon2PasswordEncoder();
}
```
5. **SCryptPasswordEncoder**：
- 使用 **SCrypt** 算法进行密码加密。
- SCrypt 是另一种内存密集型的密码加密算法，与 Argon2 类似，旨在防止硬件加速破解。
- 示例：
```java
@Bean
public PasswordEncoder passwordEncoder() {
return new SCryptPasswordEncoder();
}
```
6. **MessageDigestPasswordEncoder** (已废弃)：
- 基于 **MessageDigest** 算法进行加密（如 SHA-1、SHA-256 等）。
- 由于缺乏盐和密钥加密机制，已被其他更强的加密方式所替代。
> 选择密码转换器的建议：
>
> - 在现代应用中，推荐使用 **BCryptPasswordEncoder** 或 **Argon2PasswordEncoder**，这两种算法提供了强大的加密性。
> - **Pbkdf2PasswordEncoder** 和 **SCryptPasswordEncoder** 也可以作为备选方案，尤其是当你希望加密算法能够承受更多资源密集型攻击时。
> - **NoOpPasswordEncoder** 仅限于开发和测试环境。
### 访问主页
需要使用`http://localhost:8080/index`来访问主页，可以在配置中配置，访问根路径直接跳转
```java
@RequestMapping
@Controller
public class HomeController {
@Operation(summary = "主页内容")
@GetMapping("index")
public String index() {
return "index";
}
@Operation(summary = "订单内容")
@GetMapping("order")
public String order() {
return "order";
}
@Operation(summary = "login")
@GetMapping("login")
public String login() {
return "login";
}
}
```
在配置中
```java
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.ViewControllerRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
@Configuration
public class WebConfiguration implements WebMvcConfigurer {
@Override
public void addViewControllers(ViewControllerRegistry registry) {
registry.addViewController("/")
// .setViewName("forward:/index") //两种方式写法
.setViewName("index");
registry.addViewController("/login");
}
}
```
### 自定义登录
```java
package cn.bunny.springdemo.configuration;
import cn.bunny.springdemo.dao.entity.AdminUser;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.crypto.scrypt.SCryptPasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;
import org.springframework.security.web.SecurityFilterChain;
import java.util.ArrayList;
@Configuration
public class SecurityConfiguration {
@Bean
public PasswordEncoder passwordEncoder() {
return new SCryptPasswordEncoder(4, 8, 1, 8, 32);
}
/**
* 使用内存方式
*
* @param encoder 密码加密器
* @return 基于内存的用户
*/
@Bean
public UserDetailsService userDetailsService(PasswordEncoder encoder) {
ArrayList userDetails = new ArrayList<>();
userDetails.add(new AdminUser("admin", encoder.encode("admin"), true));
userDetails.add(new AdminUser("bunny", encoder.encode("password"), true));
return new InMemoryUserDetailsManager(userDetails);
}
// /**
// * 使用数据库方式
// *
// * @param userService 获取用户数据（如数据库）
// * @return 基于数据库的用户
// */
// @Bean
// public UserDetailsService userDetailsService(UserService userService) {
// return username -> {
// AdminUser adminUser = userService.getOne(Wrappers.lambdaQuery().eq(AdminUser::getUsername, userService));
// if (adminUser != null) {
// return adminUser;
// }
// throw new UsernameNotFoundException("未找到 AdminUser");
// };
// }
@Bean
public SecurityFilterChain filterChain(HttpSecurity security) throws Exception {
return security
.authorizeHttpRequests(authorizationManagerRequestMatcherRegistry ->
authorizationManagerRequestMatcherRegistry
.requestMatchers("/order").hasRole("USER")// 请求需要含有USER角色
.requestMatchers("/", "/index", "/login", "/images/**").permitAll()
)
/* 自定义登录页面 */
// .formLogin(AbstractAuthenticationFilterConfigurer::permitAll)// 默认的登录页会自动启用，无需额外配置
.formLogin(formLoginConfigurer -> formLoginConfigurer
.loginPage("/login")
// .loginProcessingUrl("/authenticate")
.usernameParameter("username")// 自定义用户名名称
.usernameParameter("password")// 自定义密码名称
.defaultSuccessUrl("/index")// 登录成功后默认跳转页面
// .defaultSuccessUrl("/index", true)// 登录成功后默认跳转页面，如果用户之前访问页面也需要强制跳转到 /index 可以传递第二个参数
)
.build();
}
}
```
### CSRF 伪造
通常在自定义登录页面中加入
```html
```
如果需要禁用
```java
.csrf(AbstractHttpConfigurer::disable)// 前后端分离可以禁用
```
### 开发授权服务器
```xml
org.springframework.boot
spring-boot-starter-oauth2-resource server
org.springframework.boot
spring-boot-starter-oauth2-client
org.springframework.boot
spring-boot-starter-oauth2-authorization-server
```