Spring Security 学习笔记

已于 2022-03-26 17:09:13 修改
阅读量6.7k 收藏 1
点赞数 1
分类专栏： Spring Security 文章标签： java
于 2022-03-20 17:04:42 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/PengK_aha/article/details/123612169
版权

目录

一、基本原理

二、两个重要接口

三、web权限认证方式

3.1设置登录的用户名和密码

四、查询数据库完成用户认证

五、自定义登录页面

六、基于角色权限访问控制

1.hasAuthority 方法(针对一个权限)        

2.hasAnyAuthority方法（针对多个权限）

3.hasRole

 4.hasAnyRole​

 七、自定义403没有权限访问的页面

八、认证授权注解使用

九、用户注销  

十、自动登录

一、基本原理

二、两个重要接口

三、web权限认证方式

3.1设置登录的用户名和密码

3.1.1 第一种方式：通过配置文件

        

3.1.2 第二种方式：通过配置类

        1.新建SecurityConfig 配置类，继承  WebSecurityConfigurerAdapter 

        2.重写  configure(AuthenticationManagerBuilder auth)方法

        

package com.cn.config;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder(); // 引入 BCryptPasswordEncoder 对象
        String password = passwordEncoder.encode("123456"); // 对密码进行加密
        //设置username 和 password , role
        auth.inMemoryAuthentication().withUser("lucky").password(password).roles("admin");



    }
@Bean
    PasswordEncoder password(){

        return new BCryptPasswordEncoder();
    }

}

        

3.1.3 第三种方式：自定义编写实现类

        1. 创建配置类，设置使用哪个userDetailService实现类；

package com.cn.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class SecurityConfigTest extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        auth.userDetailsService(userDetailsService).passwordEncoder(password());

    }

    @Bean
    PasswordEncoder password(){

        return new BCryptPasswordEncoder();
    }

}

        2.编写实现类，返回user对象，User对象有用户名和密码和操作权限；

package com.cn.service;

import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.stereotype.Service;

import java.util.List;

@Service("userDetailService")
public class MyUserDetailServiceImpl implements UserDetailsService {


    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {

        //权限集合
        List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("role");

        //返回user 对象
        return new User("mary",new BCryptPasswordEncoder().encode("123456"),auths);
    }
}

四、查询数据库完成用户认证

1.整合Mybatis-Plus;

2.引入依赖;

3.创建user实体类；

4. 创建UserMapper 接口 继承 BaseMapper<User> ;

5. 在UserDetailService 调用mapper 里面的方法查询数据库;

package com.cn.service;

import com.baomidou.mybatisplus.core.conditions.query.QueryWrapper;
import com.cn.mapper.UserMapper;
import com.cn.pojo.Users;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.stereotype.Service;

import java.util.List;

@Service("userDetailService")
public class MyUserDetailServiceImpl implements UserDetailsService {

    @Autowired
    private UserMapper userMapper;


    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {

        //调用userMapper,根据用户名 方法查询数据库
        QueryWrapper<Users> queryWrapper = new QueryWrapper();
        queryWrapper.eq("username",username);
        Users user  = userMapper.selectOne(queryWrapper);
        //判断
        if(user == null ){
            throw new UsernameNotFoundException("数据库没找到用户名");
        }


        //权限集合
        List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("role");

        //返回user 对象
        return new User(username,new BCryptPasswordEncoder().encode(user.getPassword()),auths);
    }
}

6.在启动类加上注解@MapperScan（"com.cn.mapper"）；

五、自定义登录页面

1.在配置类中重新方法 configure(HttpSecurity http)

package com.cn.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class SecurityConfigTest extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        auth.userDetailsService(userDetailsService).passwordEncoder(password());

    }

    @Bean
    PasswordEncoder password(){

        return new BCryptPasswordEncoder();
    }

    // 自定义登录页面配置
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.formLogin() //自定义自己编写的登录页面
                .loginPage("/login.html") //登录页面设置
                .loginProcessingUrl("/user/login") //登录访问路径
                .defaultSuccessUrl("/test/index").permitAll() //登录成功后，跳转路径
                .and().authorizeRequests()
                // 设置哪些路径可以直接访问，不需要认证
                .antMatchers("/","/test/hello","user/login").permitAll()
                .anyRequest().authenticated()
                .and().csrf().disable(); //关闭csrf防护
    }
}

2. 创建 html 页面

在resource 目录下创建static文件夹 ，创建login.html登录页面

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<form action="/user/login" method="post">
    <!-- 这个必须叫username和password，否则会报错 -->
    用户名：<input type="text" name="username"><br>
    密码：<input type="password" name="password"><br>
    <input type="submit" value="登录">
</form>
</body>
</html>

action访问路径要与配置文件中访问路径一致

六、基于角色权限访问控制

1.hasAuthority 方法(针对一个权限)        

        1.在配置类设置当前访问路径，哪些权限可以访问

         2.在UserDetailService,把返回User对象设置权限

 3.测试，没有访问权限 403

2.hasAnyAuthority方法（针对多个权限）

3.hasRole

 

 4.hasAnyRole

 

 七、自定义403没有权限访问的页面

1.在配置类设置自定义页面

package com.cn.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class SecurityConfigTest extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        auth.userDetailsService(userDetailsService).passwordEncoder(password());

    }

    @Bean
    PasswordEncoder password(){

        return new BCryptPasswordEncoder();
    }

    // 自定义登录页面配置
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        //配置没有权限访问跳转自定义页面
        http.exceptionHandling().accessDeniedPage("/unauth.html");

        http.formLogin() //自定义自己编写的登录页面
                .loginPage("/login.html") //登录页面设置
                .loginProcessingUrl("/user/login") //登录访问路径
                .defaultSuccessUrl("/test/index").permitAll() //登录成功后，跳转路径
                .and().authorizeRequests()
                // 设置哪些路径可以直接访问，不需要认证
                .antMatchers("/","/test/hello","user/login").permitAll()


                //1.hasAuthority当前登录的用户，只有具有admin权限才可以访问
                //.antMatchers("/test/index").hasAuthority("admins")

                //当前用户具有多个权限
                //2.hasAnyAuthority
                //.antMatchers("/test/index").hasAnyAuthority("ROLE_admins","manager")

                //3.hasRole
                //.antMatchers("/test/index").hasRole("sale")

                //4.hasAnyRole
                .antMatchers("/test/index").hasAnyRole("sale")
                .anyRequest().authenticated()
                .and().csrf().disable(); //关闭csrf防护
    }
}

八、认证授权注解使用

8.1.@Secured 用户具有某个角色，可以访问方法

        1.在启动类或者配置类上开启注解    @EnableGlobalMethodSecurity(securedEnabled = true)

        2.在controller 的方法上面使用注解，设置角色

             

        3.  在userDetailService 实现类中设置用户角色

        

 8.2 @PreAuthorize 适合进入方法前的权限验证，可以将登录用户的roles/permissions 传参到方法中

        1.在启动类中开启注解  

         @EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)          

         2.在controller的方法上面添加注解

        

8.3 @PostAuthorize 在方法执行之后进行校验

         

        1.在启动类中开启注解  

         @EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)       

         2.在controller的方法上面添加注解

        

8.4 @PostFilter   方法返回的数据进行过滤

8.5 @PreFilter   传入方法数据进行过滤

九、用户注销  

在配置类中添加一个退出路径

十、自动登录

 

         1.   创建数据库表

       

"create table persistent_logins (username varchar(64) not null, series varchar(64) primary key, token varchar(64) not null, last_used timestamp not null);

        2.配置类，注入数据库，配置操作数据库对象

         3.配置类配置自动登录

         4.在登录页面添加复选框（名字必须叫 remember-me）

 

泡老师大迷弟
关注
专栏目录
Spring Security权限控制
m0_56409614的博客
03-20 2463
该文章为学习Spring Security(权限控制)的一点基础知识
尚硅谷Security笔记-1
tzzt01的博客
05-06 308
设置用户权限 四种方法 hasAuthority() 方法：只能给用户一个权限 @Override public void configure(HttpSecurity http) throws Exception { http .formLogin() .loginPage("/login.html") // 自定义 login 页面 .loginProcessingUrl("/user
SpringSecurity（06）——权限注解
peng_gx的博客
01-15 1512
SpringSecurity权限注解
un8.4:SpringSecurity——身份认证和授权。
努力是为了让自己不平庸。。。
08-04 326
SpringSecurity是Spring家族的成员之一，SpringSecurity基于Spring框架，提供了一整套Web应用安全性的解决方案。 一般情况来说，Web应用的安全性包括两部分，分别是：用户认证（Authentication）和用户授权（Authorization），这两点也是SpringSecurity的重要核心功能。 那么我们该如何实现呢？ ......
Spring-Security hasAuthority hasRole源码处理
qq_18398239的博客
07-02 565
SecurityExpressionRoot hasAuthority hasRole org.springframework.security.access.expression.SecurityExpressionRoot public abstract class SecurityExpressionRoot implements SecurityExpressionOperations { protected final Authentication authentication; pr
SpringSecurity(十一）--配置权限以及相关限制（下）
学习不止境的博客
10-24 1759
本章我们将承接上篇文章的项目为基础学习，所以没有搭建好项目的小伙伴请先去查看上一篇文章把项目理解并且搭建好，当然大家也可以用自己的方式进行搭建学习，不用啥都按部就班，尤其是编程这块儿，具有极大的灵活性，没准你的方法才是最适合的。但是对于后面的代码，我将以上篇搭建好的代码为架构基础进行展示。
SpringSecurity
m0_51935008的博客
06-30 131
好吧 我现在主要用到的是验证和授权 还有在实现功能过程中的定制化。
springsecurity学习笔记
12-13
在"springsecurity学习笔记"中，你可能会涉及以下主题： - Spring Security的基本配置，包括web安全配置和全局安全配置。 - 如何自定义认证和授权流程，比如实现自定义的AuthenticationProvider和...
Spring Security学习笔记（一）
09-07
本篇学习笔记将带你走进Spring Security的世界，逐步理解并掌握其基本用法。 首先，要开始使用Spring Security，我们需要在项目中添加依赖。在Maven工程中，可以通过在`pom.xml`中引入Spring Boot的`spring-boot-...
spring security学习笔记
最新发布
08-02
spring security学习笔记
SpringBoot + Spring Security 学习笔记（五）实现短信验证码+登录功能
Candour_0的博客
01-13 594
SpringBoot + Spring Security 学习笔记（五）实现短信验证码+登录功能
Spring Security学习笔记
芸灵fly的博客
09-30 249
Spring Security of DefaultSecurityFilterChain SecurityContextPersistenceFilter INFO 10220 — [ main] o.s.s.web.DefaultSecurityFilterChain : Creating filter chain: any request, [org.springframework.security.web.context.request.async.WebAsyncMan
SpringSecurity Web 权限方案
m0_62946761的博客
01-20 4606
介绍spring security基本功能，包括自定义登录i页面，自定义403页面，相关注解和方法的使用。
Spring Security介绍（四）权限校验
w_t_y_y的博客
02-29 1925
（1）自定义拦截器或者AOP校验：对需要鉴权的接口做拦截，用户的权限从SecurityContextHolder中获取，接口访问权限可以通过自定义Annotation注入，具体参照。用户认证+授权后，就可以进行接口权限控制。思路是拿用户（已授予的）权限与接口所需权限进行比较，不包含则视为无权。和shiro类似，sercurity也提供了注解式权限校验。
SpringSecurity：授权
weixin_51992178的博客
10-23 1316
用户登录后会根据用户的身份进行角色划分，比如登录图书馆系统，一般就有管理员和普通学生等不同角色。用户的一个操作实际上就是在访问我们提供的`接口`(编写的对应访问路径的 Servlet），比如登陆，就需要调用`/login`接口，退出登陆就要调用/`logout`接口，因此，决定用户能否使用某个功能，只需要决定用户是否能够访问对应的 Servlet。
Spring Security中hasAnyAuthority和hasAuthority的区别
weixin_46533227的博客
05-29 2379
hasAuthority可以与其他表达式结合使用，例如hasAuthority('ROLE_ADMIN') and hasIpAddress('192.168.1.0/24')，表示用户需要同时拥有"ROLE_ADMIN"权限和来自IP地址为"192.168.1.0/24"的请求才能访问被保护的资源。hasAnyAuthority可以判断多个权限，用逗号分隔，例如"ROLE_USER, ROLE_ADMIN"，只要用户拥有其中一个权限即可访问被保护的资源。如果用户拥有其中一个权限，就可以访问该方法。
SpringSecurity（二）- SpringSecurity Web权限方案
及时当勉励，岁月不待人
09-22 1057
SpringSecurity（二）- SpringSecurity Web权限方案
Spring security权限管理
weixin_47072986的博客
04-02 4027
​ Spring Security是一个高度自定义的安全框架。利用Spring IoC/DI和AOP功能，为系统提供了声明式安全访问控制功能，减少了为系统安全而编写大量重复代码的工作。​ 使用Spring Secruity的原因有很多，但大部分都是发现了javaEE的Servlet规范或EJB规范中的安全功能缺乏典型企业应用场景。同时认识到他们在WAR或EAR级别无法移植。因此如果你更换服务器环境，还有大量工作去重新配置你的应用程序。
SpringSecurity给用户授权，一个用户能同时拥有多种身份Role，及权限鉴权注解方法hasRole及hasAuthority的使用区别
质量不太好的博客
03-13 9508
SpringSecurity给用户授权，一个用户能同时拥有多种身份Role
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值