Spring Security使用指南

        文章讲解了Spring Security的各个模块和功能。此中包罗用户认证、脚色授权、暗码加密和解密等。文章还提供了详细的代码示例，资助读者快速上手并明白Spring Security的使用。总之，本文是一篇全面而实用的Spring Security使用指南，对于想要学习和使用Spring Security的开辟者来说是一份非常有价值的资料。

一、入门使用

1，引入依靠

1.         <dependency>
2.             <groupId>org.springframework.boot</groupId>
3.             <artifactId>spring-boot-starter-security</artifactId>
4.         </dependency>

复制代码

2，访问请求

假设有如下的接口，当访问时会主动下载权限框架的登录页请求

3，自定义登录页

准备自定义的静态资源

添加设置

1. @Configuration
2. public class SecurityConfig {
4.   @Bean
5.   public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
7.     // 配置表单登录
8.     http.formLogin()
9.         // 指定自定义的登录页面 URL
10.         .loginPage("/login.html")
11.         // 指定登录请求的处理 URL
12.         .loginProcessingUrl("/login")
13.         // 允许所有用户访问登录页面和登录处理 URL
14.         .permitAll()
15.         .and()
16.         // 配置授权请求
17.         .authorizeRequests()
18.         // 允许所有用户访问以下路径
19.         .antMatchers( "/css/**", "/js/**", "/images/**")
20.         .permitAll()
21.         // 对于其他所有请求，要求用户必须经过身份验证
22.         .anyRequest()
23.         .authenticated()
24.         .and()
25.         // 禁用 CSRF 保护
26.         .csrf()
27.         .disable();
29.     // 构建并返回安全过滤链
30.     return http.build();
31.   }
33. }

复制代码

呈现结果

二、自定义认证

1，基于内存的认证

1.     @Bean
2.     PasswordEncoder passwordEncoder() {
3.         return NoOpPasswordEncoder.getInstance();
4.     }
6.     @Bean
7.     public UserDetailsService users() {
8.         UserDetails user = User.builder()
9.                 .username("user")
10.                 .password("123456")
11.                 .roles("USER")
12.                 .build();
13.         UserDetails admin = User.builder()
14.                 .username("admin")
15.                 .password("112233")
16.                 .roles("USER", "ADMIN")
17.                 .build();
18.         return new InMemoryUserDetailsManager(user, admin);
19.     }

复制代码

2，BCrypt暗码加密

BCrypt就是一款加密工具，可以比较方便地实现数据的加密工作。也可以简单明白为它内部自己实现了随机加盐处理。比方，使用MD5加密，每次加密后的密文其实都是一样的，这样就方便了MD5通过大数据的方式进行破解。BCrypt生成的密文长度是60，而MD5的长度是32。

1. import org.springframework.security.crypto.bcrypt.BCrypt;
3. public class Main {
4.     public static void main(String[] args) {
5.         byte[] bytes = "123456".getBytes();
6.         System.out.println(bytes);
7.         String hashpw = BCrypt.hashpw(bytes, BCrypt.gensalt());
8.         System.out.println("password-one:" + hashpw);
9.         String hash = BCrypt.hashpw(bytes, BCrypt.gensalt());
10.         System.out.println("password-two:" + hash);
11.         System.out.println("------------------------");
12.         System.out.println(BCrypt.checkpw(bytes, hash));
13.         System.out.println(BCrypt.checkpw(bytes, hashpw));
14.         System.out.println(BCrypt.checkpw("123456", hashpw));
15.     }
16. }

复制代码

三、基于JDBC数据库实现认证

1，执行流程

2，基于内存代码执行

在Spring Security框架中提供了一个UserDetailsService 接口，它的主要作用是提供用户详细信息。详细来说，当用户尝试进行身份验证时，UserDetailsService 会被调用，以获取与用户相关的详细信息。这些详细信息包罗用户的用户名、暗码、脚色等

1. import org.springframework.security.core.userdetails.User;
2. import org.springframework.security.core.userdetails.UserDetails;
3. import org.springframework.security.core.userdetails.UserDetailsService;
4. import org.springframework.security.core.userdetails.UsernameNotFoundException;
5. import org.springframework.stereotype.Component;
7. @Component
8. public class UserDetailsServiceImpl implements UserDetailsService {
10.     @Override
11.     public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
13.         if (username.equals("user")) {
14.             return User.builder()
15.                     .username(username)
16.                     .password("$2a$10$mPMldGTPYijVDItlA3/SsuAlv8OK2Rfz7VNbgdU4peyDCsxRqS95y")
17.                     .roles("USER")
18.                     .build();
19.         }
21.         if (username.equals("admin")) {
22.             return User.builder()
23.                     .username(username)
24.                     .password("$2a$10$mPMldGTPYijVDItlA3/SsuAlv8OK2Rfz7VNbgdU4peyDCsxRqS95y")
25.                     .roles("USER", "ADMIN")
26.                     .build();
27.         }
29.         return null;
30.     }
31. }

复制代码

3，基于数据库代码执行

1. @Component
2. public class UserDetailsServiceImpl implements UserDetailsService {
4.     @Autowired
5.     private UserMapper userMapper;
7.     @Override
8.     public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
10.         // 根据用户名查询用户
11.         User user = userMapper.findByUsername(username);
12.         Assert.isTrue(user != null, "用户不存在");
14.         // 建立角色
15.         SimpleGrantedAuthority userRole = new SimpleGrantedAuthority("user");
16.         SimpleGrantedAuthority adminRole = new SimpleGrantedAuthority("admin");
17.         List<SimpleGrantedAuthority> roleList = new ArrayList<>();
18.         roleList.add(userRole);
19.         roleList.add(adminRole);
21.         return new org.springframework.security.core.userdetails.User(user.getUsername(),
22.                 user.getPassword(), roleList);
23.     }
24.    
25. }

复制代码

4，自定义框架的USER类

1. import lombok.Data;
2. import org.springframework.security.core.GrantedAuthority;
3. import org.springframework.security.core.authority.SimpleGrantedAuthority;
4. import org.springframework.security.core.userdetails.UserDetails;
6. import java.util.Collection;
7. import java.util.List;
8. import java.util.stream.Collectors;
10. @Data
11. public class UserAuth implements UserDetails {
13.     private String username; //固定不可更改
14.     private String password;//固定不可更改
15.     private String nickName;  //扩展属性  昵称
16.     private List<String> roles; //角色列表
19.     @Override
20.     public Collection<? extends GrantedAuthority> getAuthorities() {
21.         if (roles == null) return null;
22.         return roles.stream()
23.                 .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
24.                 .collect(Collectors.toList());
25.     }
27.     @Override
28.     public boolean isAccountNonExpired() {
29.         return true;
30.     }
32.     @Override
33.     public boolean isAccountNonLocked() {
34.         return true;
35.     }
37.     @Override
38.     public boolean isCredentialsNonExpired() {
39.         return true;
40.     }
42.     @Override
43.     public boolean isEnabled() {
44.         return true;
45.     }
46. }

复制代码

1. @Component
2. public class UserDetailsServiceImpl implements UserDetailsService {
4.     @Autowired
5.     private UserMapper userMapper;
7.     @Override
8.     public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
10.         // 根据用户名查询用户
11.         User user = userMapper.findByUsername(username);
12.         Assert.isTrue(user != null, "用户不存在");
14.         UserAuth userAuth = new UserAuth();
15.         BeanUtils.copyProperties(user, userAuth);
17.         // 建立角色
18.         List<String> roles=new ArrayList<>();
19.         if ("user@qq.com".equals(user.getUsername())) {
20.             roles.add("USER");
21.         }
23.         if ("admin@qq.com".equals(user.getUsername())) {
24.             roles.add("USER");
25.             roles.add("ADMIN");
26.         }
27.         userAuth.setRoles(roles);
29.         return userAuth;
30.     }
32. }

复制代码

  // 获取认证对象主体
UserAuth userAuth = (UserAuth) SecurityContextHolder.getContext().getAuthentication().getPrincipal();
  四、授权

1，简单WEB授权

新增两个接口

分配脚色

当使用user脚色访问/admin时，便会返回403权限不足

2，控制利用方法

● permitAll() 方法，所有用户可访问。
● denyAll() 方法，所有用户不可访问。
● authenticated() 方法，登录用户可访问。
● anonymous() 方法，匿名用户可访问。
● rememberMe() 方法，通过 remember me 登录的用户可访问。
● fullyAuthenticated() 方法，非 remember me 登录的用户可访问。
● hasIpAddress(String ipaddressExpression) 方法，来自指定 IP 表达式的用户可访问。
● hasRole(String role) 方法， 拥有指定脚色的用户可访问，传入的脚色将被主动增长 “ROLE_”   前缀。 
● hasAnyRole(String... roles) 方法，拥有指定任意脚色的用户可访问。传入的脚色将被主动增长 “ROLE_” 前缀。
● hasAuthority(String authority) 方法，拥有指定权限( authority )的用户可访问。
● hasAnyAuthority(String... authorities) 方法，拥有指定任意权限( authority )的用户可访问。

5、整合JWT

1，实现流程

2，注册认证管理

1. @Configuration
2. public class SecurityConfig {
4.   @Bean
5.   public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
6.     http.authorizeRequests().antMatchers("/security/login").permitAll();
7.     http.csrf().disable();
8.     return http.build();
9.   }
12.   @Bean
13.   public AuthenticationManager authenticationManager(AuthenticationConfiguration configuration) throws Exception {
14.     return configuration.getAuthenticationManager();
15.   }
17.   @Bean
18.   public PasswordEncoder passwordEncoder() {
19.     return new BCryptPasswordEncoder();
20.   }
23.   @Bean
24.   public UserDetailsService users() {
25.     UserDetails user = User.builder()
26.         .username("user")
27.         .password("$2a$10$2VCyByZ5oeiXCEN73wvBB.xpmJgPBbZVS/Aallmdyij2G7hmAKQTG")
28.         .roles("USER")
29.         .build();
30.     UserDetails admin = User.builder()
31.         .username("admin")
32.         .password("$2a$10$cRH8iMMh6XO0T.ssZ/8qVOo8ThWs/qfntIH3a7yfpbPd05h9ZGx8y")
33.         .roles("USER", "ADMIN")
34.         .build();
35.     return new InMemoryUserDetailsManager(user, admin);
36.   }
38. }

复制代码

3，登录接口

1. @PostMapping("/login")
2.     public String login(@RequestBody LoginDto loginDto){
3.         // 使用接收到的用户名和密码创建一个认证令牌对象。
4.         UsernamePasswordAuthenticationToken authenticationToken =
5.             new UsernamePasswordAuthenticationToken(loginDto.getUsername(), loginDto.getPassword());
6.         // 调用Spring Security的认证管理器来验证提供的认证令牌。
7.         // 如果用户名或密码不正确，这一步会抛出异常。
8.         Authentication authenticate = authenticationManager.authenticate(authenticationToken);
9.         if (authenticate.isAuthenticated()) {
10.             // 获取认证成功的主体
11.             Object principal = authenticate.getPrincipal();
12.             Map<String, Object> claims = new HashMap<>();
13.             claims.put("user", principal);
14.             String token = JWTUtil.createToken(claims, JWT_KEY.getBytes());
15.             log.info("token: {}", token);
16.             return token;
17.         }
18.         return "";
19.     }

复制代码

4，自定义认证管理

1. @Component
2. public class TokenAuthorizationManager implements AuthorizationManager<RequestAuthorizationContext> {
3.   @Override
4.   public AuthorizationDecision check(Supplier<Authentication> authentication,
5.                                      RequestAuthorizationContext requestAuthorizationContext) {
6.     HttpServletRequest request = requestAuthorizationContext.getRequest();
7.     String token = request.getHeader("token");
8.     if (!StringUtils.hasText(token)) {
9.       return new AuthorizationDecision(false);
10.     }
12.     Claims claims = JwtUtil.parseJWT(JWT_KEY, token);
13.     //获取userAuth
14.     UserAuth user = JSONObject.parseObject(JSON.toJSONString(claims.get("user")),UserAuth.class);
16. //存入上下文
17.         UsernamePasswordAuthenticationToken auth
18.                 =new UsernamePasswordAuthenticationToken( userAuth, userAuth.getPassword(), userAuth.getAuthorities());
19.         SecurityContextHolder.getContext().setAuthentication(auth);
21.     if (user != null) {
22.       return new AuthorizationDecision(false);
23.     }
25.     String requestURI = request.getRequestURI();
26.     if (user.getRoles().contains("admin")) {
27.       if("/hello/admin".equals(requestURI)){
28.         return new AuthorizationDecision(true);
29.       }
30.     }
32.     if(user.getRoles().contains("USER")){
33.       if("/hello/user".equals(requestURI)){
34.         return new AuthorizationDecision(true);
35.       }
36.     }
38.     return new AuthorizationDecision(false);
39.   }
40. }

复制代码

1.   @Autowired
2.   private TokenAuthorizationManager tokenAuthorizationManager;
4.   @Bean
5.   public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
6.     http.authorizeHttpRequests().antMatchers("/security/login").permitAll()
7.         .anyRequest().access(tokenAuthorizationManager);
8.     http.csrf().disable();
9.         //关闭session
10.         http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
11.         //关闭缓存
12.         http.headers().cacheControl().disable();
13.     return http.build();
14.   }

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。