在Play Framework中构建一个安全认证系统需要结合使用Play的内置功能以及Java的安全库。以下是一个从零开始搭建基本认证系统的步骤指南。假设你已经安装并配置好了Play Framework的开发环境。

1. 创建Play项目

1. 使用SBT创建一个新的Play项目：
   sbt new playframework/play-java-seed.g8
   按照提示输入项目名称并完成项目的生成。

2. 配置依赖

在build.sbt中添加必要的依赖，例如数据库和密码处理的库（如果需要）：

libraryDependencies += "org.mindrot" % "jbcrypt" % "0.4"  

3. 设置数据库连接

在conf/application.conf中配置你的数据库连接：

db.default.driver=com.mysql.cj.jdbc.Driver  
db.default.url="jdbc:mysql://localhost:3306/playdb"  
db.default.username="root"  
db.default.password="password"  

确保你已经创建了数据库playdb并安装配置好了MySQL。

4. 创建用户模型

定义一个用户模型来表示用户数据。这个模型将映射到你的数据库表：

package models;  
import io.ebean.Model;  
import javax.persistence.Entity;  
import javax.persistence.Id;  
@Entity  
public class User extends Model {  
    @Id  
    public Long id;  
    public String username;  
    public String email;  
    public String passwordHash;  
}  

5. 用户注册

创建用于用户注册的控制器和视图。

package controllers;  
import play.data.Form;  
import play.data.FormFactory;  
import play.mvc.*;  
import javax.inject.Inject;  
import models.User;  
import org.mindrot.jbcrypt.BCrypt;  
public class AuthController extends Controller {  
    @Inject  
    FormFactory formFactory;  
    public Result showRegisterForm(Http.Request request) {  
        return ok(views.html.register.render(formFactory.form(User.class), request));  
    }  
    public Result register(Http.Request request) {  
        Form<User> userForm = formFactory.form(User.class).bindFromRequest(request);  
        if (userForm.hasErrors()) {  
            return badRequest(views.html.register.render(userForm, request));  
        }  
        User user = userForm.get();  
        user.passwordHash = BCrypt.hashpw(user.passwordHash, BCrypt.gensalt());  
        user.save();  
        return redirect(routes.AuthController.showLoginForm()).flashing("success", "Registered successfully");  
    }  
}  

在views目录下创建register.scala.html用于用户注册页面。

6. 用户登录

实现用户登录逻辑：

public Result showLoginForm(Http.Request request) {  
    return ok(views.html.login.render(formFactory.form(User.class), request));  
}  
public Result login(Http.Request request) {  
    Form<User> loginForm = formFactory.form(User.class).bindFromRequest(request);  
    if (loginForm.hasErrors()) {  
        return badRequest(views.html.login.render(loginForm, request));  
    }  
    User loginData = loginForm.get();  
    User user = User.find.query().where().eq("username", loginData.username).findOne();  
    if (user != null && BCrypt.checkpw(loginData.passwordHash, user.passwordHash)) {  
        return redirect(routes.HomeController.index()).addingToSession(request, "username", user.username);  
    } else {  
        return unauthorized("Invalid credentials");  
    }  
}  

创建相应的login.scala.html视图文件。

7. 会话管理与注销

实现基本的会话管理和注销：

public Result logout(Http.Request request) {  
    return redirect(routes.AuthController.showLoginForm()).removingFromSession(request, "username");  
}  

8. 保护路由

在需要保护的路由之前检查用户是否已登陆：

public class Secured extends Security.Authenticator {  
    @Override  
    public String getUsername(Http.Request request) {  
        return request.session().getOptional("username").orElse(null);  
    }  
    @Override  
    public Result onUnauthorized(Http.Request request) {  
        return redirect(routes.AuthController.showLoginForm());  
    }  
}  

在控制器中使用@Security.Authenticated(Secured.class)注解来保护路由。

9. 额外安全措施

• 使用CSRF保护通过视图模板中的@CSRF.formField标签
• 确保数据库连接使用SSL加密
• 定期更新密码策略

通过这些步骤，你应该能够在Play Framework中实现一个基本的用户认证系统。根据需要，可以进一步扩展功能，例如密码重置、电子邮件确认、多因素认证等。