SpringSecurity5（2-自定义用户信息）

设置文件自定义用户名和密码

1. spring:
2.   security:
3.     user:
4.       name: root    #通过配置文件，设置静态用户名
5.       password: root    #配置文件，设置静态登录密码

复制代码

SecurityProperties

1. @ConfigurationProperties(prefix = "spring.security")
2. public class SecurityProperties {
4.     public static final int BASIC_AUTH_ORDER = Ordered.LOWEST_PRECEDENCE - 5;
6.     public static final int IGNORED_ORDER = Ordered.HIGHEST_PRECEDENCE;
8.     public static final int DEFAULT_FILTER_ORDER = OrderedFilter.REQUEST_WRAPPER_FILTER_MAX_ORDER - 100;
10.     private final Filter filter = new Filter();
12.     private User user = new User();
14.     public User getUser() {
15.         return this.user;
16.     }
18.     public Filter getFilter() {
19.         return this.filter;
20.     }
22.     public static class Filter {
24.         private int order = DEFAULT_FILTER_ORDER;
26.         private Set<DispatcherType> dispatcherTypes = new HashSet<>(
27.                 Arrays.asList(DispatcherType.ASYNC, DispatcherType.ERROR, DispatcherType.REQUEST));
29.         public int getOrder() {
30.             return this.order;
31.         }
33.         public void setOrder(int order) {
34.             this.order = order;
35.         }
37.         public Set<DispatcherType> getDispatcherTypes() {
38.             return this.dispatcherTypes;
39.         }
41.         public void setDispatcherTypes(Set<DispatcherType> dispatcherTypes) {
42.             this.dispatcherTypes = dispatcherTypes;
43.         }
44.     }
46.     public static class User {
48.         private String name = "user";
50.         private String password = UUID.randomUUID().toString();
52.         private List<String> roles = new ArrayList<>();
54.         private boolean passwordGenerated = true;
56.         public String getName() {
57.             return this.name;
58.         }
60.         public void setName(String name) {
61.             this.name = name;
62.         }
64.         public String getPassword() {
65.             return this.password;
66.         }
68.         public void setPassword(String password) {
69.             if (!StringUtils.hasLength(password)) {
70.                 return;
71.             }
72.             this.passwordGenerated = false;
73.             this.password = password;
74.         }
76.         public List<String> getRoles() {
77.             return this.roles;
78.         }
80.         public void setRoles(List<String> roles) {
81.             this.roles = new ArrayList<>(roles);
82.         }
84.         public boolean isPasswordGenerated() {
85.             return this.passwordGenerated;
86.         }
87.     }
88. }

复制代码

SecuityProperties 会获取设置文件中的信息，UserDetailsServiceAutoConfiguration 在自动装配时获取 SecuityProperties 的属性信息
UserDetailsServiceAutoConfiguration

1. @Configuration(proxyBeanMethods = false)
2. @ConditionalOnClass(AuthenticationManager.class)
3. @ConditionalOnBean(ObjectPostProcessor.class)
4. @ConditionalOnMissingBean(
5.     value = { AuthenticationManager.class, AuthenticationProvider.class, UserDetailsService.class },
6.     type = { "org.springframework.security.oauth2.jwt.JwtDecoder", "org.springframework.security.oauth2.server.resource.introspection.OpaqueTokenIntrospector" })
7. public class UserDetailsServiceAutoConfiguration {
9.     private static final String NOOP_PASSWORD_PREFIX = "{noop}";
11.     private static final Pattern PASSWORD_ALGORITHM_PATTERN = Pattern.compile("^\\{.+}.*$");
13.     private static final Log logger = LogFactory.getLog(UserDetailsServiceAutoConfiguration.class);
15.     @Bean
16.     @ConditionalOnMissingBean(
17.             type = "org.springframework.security.oauth2.client.registration.ClientRegistrationRepository")
18.     @Lazy
19.     public InMemoryUserDetailsManager inMemoryUserDetailsManager(SecurityProperties properties,
20.             ObjectProvider<PasswordEncoder> passwordEncoder) {
21.         SecurityProperties.User user = properties.getUser();
22.         List<String> roles = user.getRoles();
23.         return new InMemoryUserDetailsManager(
24.                 User.withUsername(user.getName()).password(getOrDeducePassword(user, passwordEncoder.getIfAvailable()))
25.                         .roles(StringUtils.toStringArray(roles)).build());
26.     }
28.     private String getOrDeducePassword(SecurityProperties.User user, PasswordEncoder encoder) {
29.         String password = user.getPassword();
30.         if (user.isPasswordGenerated()) {
31.             logger.info(String.format("%n%nUsing generated security password: %s%n", user.getPassword()));
32.         }       
33.         if (encoder != null || PASSWORD_ALGORITHM_PATTERN.matcher(password).matches()) {
34.             return password;
35.         }
36.         return NOOP_PASSWORD_PREFIX + password;
37.     }
38. }

复制代码

当容器中没有 AuthenticationManager、AuthenticationProvider、UserDetailsService 对应的实例类，且没有 org.springframework.security.oauth2.client.registration.ClientRegistrationRepository 时，会实例化 InMemoryUserDetailsManager 从而获取 SecurityProperties 的设置信息，加载用户信息在内存中
基于内存存储认证信息

• 在 Spring Security 5.0 版本前，加密的 PasswordEncoder 接口默认实现类为 NoOpPasswordEncoder ，这个是可以不用加密的，直接利用明文密码存储。当前已经标注过时了。
  
• 在 Spring Security 5.0 版本后 ，默认实现类改为了 DelegatingPasswordEncoder，这个实现类要求我们必须对加密后存储，假如不加密处置处罚则会报错。
  

根本利用

1. @Configuration
2. @Slf4j
3. public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
5.     /**
6.      * 密码编码器，密码不能明文存储
7.      */
8.     @Bean
9.     public PasswordEncoder passwordEncoder() {
10.         // 设置默认的加密方式，使用 BCryptPasswordEncoder 密码编码器，
11.         // 该编码器会将随机产生的 salt 混入最终生成的密文中
12.         return new BCryptPasswordEncoder();
13.     }
14.    
15.     /**
16.      * 定制基于 HTTP 请求的用户访问控制
17.      */
18.     @Override
19.     protected void configure(HttpSecurity http) throws Exception {
20.         /**
21.          * fromLogin()：表单认证
22.          * httpBasic()：弹出框认证
23.          * authorizeRequests()：身份认证请求
24.          * anyRequest()：所有请求
25.          * authenticated()：身份认证
26.          */
27.         http.httpBasic()
28.                 .and()
29.                 .authorizeRequests()
30.                 // 其它任何请求访问都需要先通过认证
31.                 .anyRequest()
32.                 .authenticated();
33.     }
35.     /**
36.     * 认证管理器：
37.     * 1、认证信息提供方式（用户名、密码、当前用户的资源权限）
38.     * 2、可采用内存存储方式，也可能采用数据库方式等
39.     */
40.     @Override
41.     protected void configure(AuthenticationManagerBuilder auth) throws Exception {
42.         // 用户信息存储在内存中
43.         String password = passwordEncoder().encode("1234");
44.         log.info("加密之后存储的密码：" + password);
45.         auth.inMemoryAuthentication()
46.             .withUser("admin")
47.             .password(password)
48.             .authorities("ADMIN");
49.     }
50.    
51.     /**
52.      * 定制一些全局性的安全配置，例如：不拦截静态资源的访问
53.      */
54.     @Override
55.     public void configure(WebSecurity web) throws Exception {
56.         // 静态资源的访问不需要拦截，直接放行
57.         web.ignoring().antMatchers("/**/*.css", "/**/*.js", "/**/*.png", "/**/*.jpg", "/**/*.jpeg");
58.     }
59. }

复制代码

加密处置处罚分析

UserDetailsService 自定义登录请求

在现实开发中，Spring Security 应该动态的从数据库中获取信息进行自定义身份认证，采用数据库方式进行身份认证一样平常需要实现两个核心接口 UserDetailsService 和 UserDetails
UserDetailService 接口

该接口只有一个方法 loadUserByUsername()，用于定义从数据库中获取指定用户信息的逻辑。假如未获取到用户信息，则需要手动抛出 UsernameNotFoundException 异常；假如获取到用户信息，则将该用户信息封装到 UserDetails 接口的实现类中并返回

1. public interface UserDetailsService {
2.     // 输入参数 username 是前端传入的用户名
3.     UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;
4. }

复制代码

UserDetails 接口

UserDetails 接口定义了用于形貌用户信息的方法
[code]public interface UserDetails extends Serializable {    // 返回用户权限集合    Collection