Spring Security入门学习（一）-授权与认证

本文主要是对于Spring Security非常浅显的知识进行介绍，并不深入了解，只接触表面，对一些较复杂的内容也不过多描述。如文中有错误之处，望不吝赐教，谢谢~

一、Spring Security概述

spring security是 spring 项目组中用来提供安全认证服务的框架，为spring项目提供安全保障。
在web应用开发中，安全无疑是十分重要的，如果一个web应用安全得不到保障的话，那这无疑是一个失败的项目。在以往的学习中，我们可以用诸如拦截器、过滤器之类来进行安全保障，但是这样会写很多的代码，增加了工作量，所以就很有必要借助相应的框架来帮助我们完成安全保障工作（借助框架来简化拦截器、过滤器的开发复杂度），而spring security就是这样的框架。

二、Spring Security简单入门实例

（1）新建spring boot项目。

（2）导入素材（application.properties也要导入）。链接，提取码：1928。素材来源：【狂神说Java】SpringBoot最新教程IDEA版通俗易懂。

（3）导入spring security依赖

<dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
            <version>2.2.2.RELEASE</version>
        </dependency>

（4）新建security配置类
SecurityConfig.java，注意要继承自WebSecurityConfigurerAdapter，并重写授权方法。给相应的页面设置访问权限，只有拥有该权限的用户才可访问。

package com.example.spring_security_study_demo.config;

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

/**
 * @className: SecurityConfig
 * @description: spring security配置类
 */
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    protected void configure(HttpSecurity http) throws Exception {

        //使首页所有人都可访问
        http.authorizeRequests().antMatchers("/").permitAll();

        //level1页面只有auth1才可访问
        http.authorizeRequests().antMatchers("/level1/**").hasRole("auth1");

        //level2页面只有auth2才可访问
        http.authorizeRequests().antMatchers("/level2/**").hasRole("auth2");

        //level3页面只有auth3才可访问
        http.authorizeRequests().antMatchers("/level3/**").hasRole("auth3");
}

（5）新建控制器
注意素材里面有关登录是“toLogin”，而本程序是“login”，可自行修改。

package com.example.spring_security_study_demo.controller;

import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.PathVariable;
import org.springframework.web.bind.annotation.RequestMapping;

/**
 * @className: RouterController
 * @description: 访问控制器
 */
@Controller
public class RouterController {


    /**
     * 访问首页 index.html
     * @return
     */
    @RequestMapping({"/","/index"})
    public String index(){

        return "index";
    }

    /**
     * 访问登录页
     * @return
     */
    @RequestMapping("/login")
    public String login(){

        return "views/login";
    }

    /**
     * 访问views/level1/下的页面
     * @param id
     * @return
     */
    @RequestMapping("/level1/{id}")
    public String level1(@PathVariable("id") Integer id){

        return "views/level1/"+id;

    }

    /**
     * 访问views/level2/下的页面
     * @param id
     * @return
     */
    @RequestMapping("/level2/{id}")
    public String level2(@PathVariable("id") Integer id){

        return "views/level2/"+id;

    }

    /**
     * 访问views/level3/下的页面
     * @param id
     * @return
     */
    @RequestMapping("/level3/{id}")
    public String level3(@PathVariable("id") Integer id){

        return "views/level3/"+id;

    }
}

（6）启动项目，运行成功后，在浏览器中输入

http://localhost:8080/

即可看到如下页面

再点击Level1-1-1，可看到如下页面：

可发现首页都可访问，而level1/1/1页面不能被访问（权限不足），这说明我们前面的security配置成功，赋予了不同页面的访问权限。

（7）在security配置类(SecurityConfig.java)中，重写认证方法，以给相应的用户认证权限。（注意本来用户的信息应该从数据库中读入，这里为方便演示，便直接给出数据）。

/**
     * 认证
     * @param auth
     * @throws Exception
     */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //认证 给用户授予权限
        //用 and()连接多个用户
        //用BCryptPasswordEncoder对密码进行加密
        auth.inMemoryAuthentication().passwordEncoder(new BCryptPasswordEncoder())
                .withUser("a").password(new BCryptPasswordEncoder().encode("123")).roles("auth1")
                .and()
                .withUser("b").password(new BCryptPasswordEncoder().encode("123")).roles("auth2")
                .and()
                .withUser("c").password(new BCryptPasswordEncoder().encode("123")).roles("auth3");
    }

（8）再启动项目，运行成功后，在浏览器中输入

http://localhost:8080/login

进入登录页面，输入相应的信息（以用户a为例，用户名为a，密码为123）
再点击Level1-1-1，可看到如下页面：

此时用户a可访问Level1-1-1页面，并且其他用户（b和c）是不能访问的。

三、总结

spring security是 spring 项目组中用来提供安全认证服务的框架，可以很浅显地理解为借助spring security可以简化编写拦截器和过滤器的工作。
使用spring security：

• 引入spring-boot-starter-security依赖
• 编写相应的配置类并继承自WebSecurityConfigurerAdapter，再重写相关函数

2020.04.18