目录
第一步：新建一个类CustomerUserDetails实现UserDetails接口
第二步：新建CustomerUserDetailsServiceImpl来实现UserDetailService接口
第四步：在Service层使用ProviderManager的authenticate()方法进行验证
一、SpringSecurity介绍
SpringSecurity顾名思义是spring的一个安全框架。拥有认证和授权两大核心功能。
案例效果：
二、环境准备
2.1 数据库
RBAC模型：基于角色的权限控制。通过角色关联用户，角色关联权限的方式间接赋予用户权限。
即一个用户属于多种角色、一个角色有多个权限
主体(subject) 访问资源的时候、通常由分为两种：基于角色控制访问、基于权限控制访问；
故建立五张表：用户表、权限表、角色表、用户角色表、角色权限表；
准备数据：
张三--->管理员、普通用户------>增删改查
李四---->普通用户----->查询
脚本参考文章末尾的传送门
2.2 项目准备
jdk 17
springboot 2.7.0
maven 3.8.6
mysql 8.0.30
导入必要jar包：主要导入：boot-security的整合依赖，其他根据需要导入
<!-- web--> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-web</artifactId> </dependency> <!--数据库驱动--> <dependency> <groupId>mysql</groupId> <artifactId>mysql-connector-java</artifactId> </dependency> <!-- MP 起步依赖--> <dependency> <groupId>com.baomidou</groupId> <artifactId>mybatis-plus-boot-starter</artifactId> <version>3.4.0</version> </dependency> <!-- 模板引擎 --> <dependency> <groupId>org.apache.velocity</groupId> <artifactId>velocity-engine-core</artifactId> <version>2.3</version> </dependency> <dependency> <groupId>com.baomidou</groupId> <artifactId>mybatis-plus-generator</artifactId> <version>3.4.0</version> <!-- <scope>test</scope> --> </dependency> <!--security--> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> <!--thymeleaf模块引擎--> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-thymeleaf</artifactId> </dependency> <!-- test--> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-test</artifactId> <scope>test</scope> </dependency> <!-- lombok --> <dependency> <groupId>org.projectlombok</groupId> <artifactId>lombok</artifactId> <optional>true</optional> </dependency>
配置文件：application.yml
spring: mvc: pathmatch: matching-strategy: ant_path_matcher server: port: 8080 --- spring: datasource: url: jdbc:mysql://localhost:3308/boot_security?serverTimezone=UTC&useUnicode=true&characterEncoding=utf-8&AllowPublicKeyRetrieval=True username: root password: root --- mybatis-plus: mapper-locations: mapper/*.xml configuration: log-impl: org.apache.ibatis.logging.stdout.StdOutImpl map-underscore-to-camel-case: true
随后使用代码生成工具生成项目结构、随后调整xml文件位置、以及适当删减、随后测试下生成的代码是否可用。主要看有对应三个实体类就可。
@Autowired private TbUserService userService; @Test public void test01(){ userService.list(); }
静态资源准备：
三、确保项目没问题后开始使用
导入security整合依赖后、启动项目访问任何接口，都会被直接被直接拦截，并转发到security提供的登录页面、也就是需要认证一下才能进入首页。默认的用户名是user、密码在控制台。
认证通过后才会访问到目标页面
3.1、Security的过滤链：
目前使用的是Security给的默认用户名和生成的密码。 实际情况是使用tb_user获取真实的用户名和密码；在此之前先了解Security的过滤链；
List<Filter> filterList = context.getBean(DefaultSecurityFilterChain.class).getFilters();SpringSecurity的过滤链：一共有16个过滤器链
过滤器链的大概流程就是，用户请求过来、先检查用户名密码、没有错、则检查权限，若有对应权限、访问对应的接口、其中只要一步错，就给打回去；
3.2、自定义用户名密码登录：
方式1：将用户名密码写在配置文件里
spring: security: user: name: zs password: 123
方式2：使用数据库中的用户名、密码进行登录：
第一步：新建一个类CustomerUserDetails实现UserDetails接口
实现所有UserDetails的抽象方法并将TbUser【登录对象】 作为CustomerUserDetails的属性。
@Data @NoArgsConstructor public class CustomerUserDetails implements UserDetails { TbUser user; List<String> permissions; public CustomerUserDetails(TbUser user,List<String> permissions) { this.user = user; this.permissions = permissions; } /** * 权限集合：包括了角色code、可访问权限code * @return */ @Override public Collection<? extends GrantedAuthority> getAuthorities() { List<GrantedAuthority> authorities = new ArrayList<>(); permissions.forEach(x->{ GrantedAuthority simpleGrantedAuthority = new SimpleGrantedAuthority(x); authorities.add(simpleGrantedAuthority); }); return authorities; // return permissions.stream().map(SimpleGrantedAuthority::new).collect(Collectors.toList()); } @Override public String getPassword() { return user.getPassWord(); } @Override public String getUsername() { return user.getUserName(); } @Override public boolean isAccountNonExpired() { return true; } @Override public boolean isAccountNonLocked() { return true; } @Override public boolean isCredentialsNonExpired() { return true; } @Override public boolean isEnabled() { return true; } }
第二步：新建CustomerUserDetailsServiceImpl来实现UserDetailService接口
实现loadUserByUsername方法。
@Override public UserDetails loadUserByUsername(String username){ //1、根据用户名查询用户信息 LambdaQueryWrapper<TbUser> wrapper = new LambdaQueryWrapper<>(); wrapper.eq(TbUser::getUserName,username); TbUser user = userMapper.selectOne(wrapper); //如果查询不到数据就通过抛出异常来给出提示 if(Objects.isNull(user)){ throw new RuntimeException("用户名或密码错误"); } // 2、查询角色及权限: List<String> authoritiesList = new ArrayList<>(); List<String> authoritiesPerms = userMapper.selectPermission(user); List<TbRole> roleList = userMapper.selectRole(user); // 若 数据库代表角色的code没有加 ROLE_ 作为前缀、需要手动加一下； List<String> authoritiesRoles = this.addPrefix(roleList); authoritiesList.addAll(authoritiesPerms); authoritiesList.addAll(authoritiesRoles); return new CustomerUserDetails(user,authoritiesList); } /** * 给role_code 加上前缀 * @param roleList * @return */ private List<String> addPrefix(List<TbRole> roleList) { StringBuilder prefix = new StringBuilder("ROLE_"); roleList.forEach(role->{ role.setRoleCode(prefix.append(role.getRoleCode()).toString()); }); return roleList.stream().map(TbRole::getRoleCode).collect(Collectors.toList()); }
此时由于数据库中的密码是明文，登录时会报一个错。
There is no PasswordEncoder mapped for the id "null"
因为没有给密码加密：
此时要想继续登录
方式1【不推荐】：将数据库中明文前加{noop}即可
方式2：使用Security默认的加密的工具类BCryptPasswordEncoder将密码加密后存入数据库。再SecurityConfig配置类中注入BCryptPasswordEncoder的bean对象即可。加密方式会自动加盐；
第三步：配置类中注入bean对象：
/** * @author Alex */ @Configuration public class SecurityConfig{ @Bean public PasswordEncoder passwordEncoder(){ return new BCryptPasswordEncoder(); } }
将密码字符串加密，调用encode()将密码加密。将加密后的字符串存入数据库；
@Test public void testPasswordEncoder1(){ String encode = securityConfig.passwordEncoder().encode("123"); System.err.println(encode); } @Test public void testPasswordEncoder(){ BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder(); String encode = passwordEncoder.encode("123"); System.err.println(encode); }当注入bean对象后，明文前加{noop}就不可用了。
简单提一下解密：
SpringSecurity提供了matches()方法来进行密码匹配，加密本身时不可逆的，解密的原理是将需要解密的字段统过相同的Hash函数得到的字符串到已加密的数据库中进行匹配。
3.3、自定义登录/认证：
第一步：自定义登录页面
第二步：定义一个登录接口
/** * 登录方法、登录成功跳转到首先、 * 否则继续跳转登录页,并给出提示 * @param username * @return */ @PostMapping("/login") public Map<String, String> userLogin(String username, String password){ TbUser loginUser = new TbUser(); loginUser.setUserName(username); loginUser.setPassWord(password); return userService.userLogin(loginUser); }
第三步：放行登录接口、请求登录接口
@Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http //关闭csrf .csrf().disable() .authorizeRequests() // 允许匿名访问的接口 .antMatchers("/user/login").anonymous() .antMatchers("/toLogin").anonymous() // 访问toUserAdd接口需要admin角色 .antMatchers("/toUserAdd").hasAnyRole("admin") // 访问toUserEdit接口需要edit权限 // .antMatchers("/toUserEdit").hasAnyAuthority("edit") // .antMatchers("/toUserEdit").hasAuthority("edit") .antMatchers("/toUserList").hasAnyAuthority("list") // 除上面外的所有请求全部需要鉴权认证 .anyRequest().authenticated(); http.formLogin() // 访问登录页面接口 .loginPage("/toLogin") // 执行登录方法接口 .loginProcessingUrl("user/login"); // http.logout().logoutUrl("/logout"); return http.build(); }
第四步：在Service层使用ProviderManager的authenticate()方法进行验证
将封装的Authentication对象 存入SecurityContextHolder
@Override public Map<String, String> userLogin(TbUser loginUser, HttpSession session) { Map<String, String> responseMap = new HashMap<>(2); try { UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken(loginUser.getUserName(), loginUser.getPassWord(),null); Authentication authenticate = authenticationManager.authenticate(token); // 存入SecurityContextHolder SecurityContextHolder.getContext().setAuthentication(authenticate); responseMap.put("code","0"); return responseMap; }catch (RuntimeException e){ responseMap.put("code","-1"); e.printStackTrace(); return responseMap; } }此处直接返回map,也可以封装一个返回结果集对象，然后对于Security的 Session Management相关的内容会在后续文章中更新。
前端监听表单提交后发送登录请求：
//登录请求 const url = "user/login"; $.post(url,data,function(response){ console.log(response.code); if(response.code==0){ layer.msg("登录成功",{icon:6,time:1000}, function () { window.location = '/'; }); }else { layer.msg("用户名或密码错误",{icon:5,anim:6}); $("#btn-login").removeAttr("disabled", "disabled").removeClass("layui-btn-disabled"); } });
到这里呢、自定义登录就完成了、看下登录后的跳转的首页
实现效果：
3.4、后端接口拦截
1、在SecurityFilterChain中完成配置
2、在接口上加注解
若需接口注解生效，配置类上加@EnableGlobalMethodSecurity注解，将需要用到的实现机制设置为true;
@EnableGlobalMethodSecurity(securedEnabled=true,prePostEnabled=true)eg1:配置访问toUserEdit接口需要edit权限
.antMatchers("/toUserEdit").hasAuthority("edit")或者：
.antMatchers("/toUserEdit").hasAnyAuthority("edit")或者：
@Secured("edit")或者：
@PreAuthorize("hasAnyAuthority('edit')")或者
@PreAuthorize("hasAuthority('edit')")若访问该接口需要多个权限：
@PreAuthorize("hasAuthority('edit') and hasAuthority('add')")
eg2:配置访问toUserAdd接口需要admin角色
.antMatchers("/toUserAdd").hasAnyRole("admin");或者：
.antMatchers("/toUserAdd").hasRole("admin");唯一区别是hasAnyRole可以传入多个角色code；点进hasRole方法中看到一些
或者再接口上加注解：
@Secured("ROLE_admin")或者：
@Secured({"ROLE_admin"})或者：
@PreAuthorize("hasAnyRole('admin')")要同时满足多个角色的话可以这样加：
@PreAuthorize("hasRole('admin') AND hasRole('user')")
3.5、前端按钮隐藏
此时前端的页面时包括所有的的接口按钮的，需要对将不属于当前角色或者没有权限的接口异常，为了标签生效，后端需要引入：thymeleaf整合security的yongriyong'ri
<dependency> <groupId>org.thymeleaf.extras</groupId> <artifactId>thymeleaf-extras-springsecurity5</artifactId> </dependency>
配置类中加入：
/**
* 页面的sec:标签生效
* @return
*/
@Bean
public SpringSecurityDialect springSecurityDialect(){
return new SpringSecurityDialect();
}前端需要引入security的命名空间：
xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5"
index.html改造后： 所提供的标签属性和配置类的用法一致；
<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.thymeleaf.org"
xmlns:sec="http://www.thymeleaf.org/thymeleaf-extras-springsecurity5"
>
<head>
<meta charset="UTF-8">
<title>首页</title>
</head>
<body>
<!--<h1>hello,SpringSecurity、我是<span th:text="${session.userName}"></span></h1><br>-->
<h1>hello,SpringSecurity、我是<span sec:authentication="principal.username"></span></h1>
<!--未登录-->
<div sec:authorize="!isAuthenticated()">
<a class="item" th:href="@{/toLogin}">登录</a>
</div>
<div sec:authorize="isAuthenticated()">
<h2>角色及权限：<span sec:authentication="principal.authorities"></span></h2>
</div>
<div sec:authorize="isAuthenticated()">
<a class="item" th:href="@{/logout}">注销</a>
</div>
<br>
<hr>
<br>
<h1>基于角色展示：</h1>
<div>
<div sec:authorize="hasRole('admin')">
<a th:href="@{/toUserAdd}"> 添加用户</a>
<a th:href="@{/toUserDel}"> 删除用户</a>
<a th:href="@{/toUserEdit}"> 修改用户</a>
</div>
<div sec:authorize="hasAnyRole('user')">
<a th:href="@{/toUserList}"> 用户列表</a>
</div>
</div>
<br>
<hr>
<br>
<h1>基于权限展示：</h1>
<div>
<div sec:authorize="hasAnyAuthority('add')">
<a th:href="@{/toUserAdd}"> 添加用户</a>
</div>
<div sec:authorize="hasAuthority('delete')">
<a th:href="@{/toUserDel}"> 删除用户</a>
</div>
<div sec:authorize="hasAnyAuthority('edit','select')">
<a th:href="@{/toUserEdit}"> 修改用户</a>
</div>
<div sec:authorize="hasAuthority('select')">
<a th:href="@{/toUserList}"> 用户列表</a>
</div>
</div>
</body>
</html>
实现效果:
3.6、自定义注册
提交表单：拿到密码后对传入的密码进行随机盐+哈希散列加密、然后将随机盐和加密后的字符串存入数据库用户表中、并初始化一些用户及权限就🆗了。
3.7、关于拓展
将用户信息存入SecurityContextHolder的上下文只在springboot单体项目中可以使用。
前后端分离的情况下可以将token封装为JWT存入缓存。从缓存中取到并解析字符串也可获取用户信息。
过程中的一些报错
1、Error starting ApplicationContext. To display the conditions report re-run your application with 'debug' enabled.
解决：配置文件加上
debug: true2、No qualifying bean of type 'com.example.demo.mapper.TbUserMapper' available: expected at least 1 bean which qualifies as autowire candidate. Dependency annotations: {@org.springframework.beans.factory.annotation.Autowired(required=true)}
解决：启动类上加上mapperScan("com......")
@SpringBootApplication @MapperScan("com.example.demo.mapper") public class DemoApplication { public static void main(String[] args) { SpringApplication.run(DemoApplication.class, args); } }
认证过程：
1、springSecurity如何校验用户名、密码和权限？
答：通过一个登录请求的debug得到如下流程
发送一个登录请求----->UsernamePasswordAuthenticationFilter--->通过authenticate()方法认证----->loadUserUsername()方法获得UserDetails对象-->从该对象中拿到密码对比系统中的密码---->给UserDetails对象添加权限并设置到Authentication中，存入SecurityContentHolder中即可。 (完成一个cookie--session的闭环)2、 为什么从数据库中查到角色code需要加上前缀 "ROLE_"再封装到CustomerUserDetails对象中？
个人理解是为了区分权限和角色的编码。我们点进关于登录的主体是否包括某个角色的验证源码时，在对应的验证方法中可以找到答案。也可以自定义验证方式。
private String defaultRolePrefix = "ROLE_";public ExpressionUrlAuthorizationConfigurer(ApplicationContext context) { String[] grantedAuthorityDefaultsBeanNames = context.getBeanNamesForType(GrantedAuthorityDefaults.class); if (grantedAuthorityDefaultsBeanNames.length == 1) { GrantedAuthorityDefaults grantedAuthorityDefaults = (GrantedAuthorityDefaults)context.getBean(grantedAuthorityDefaultsBeanNames[0], GrantedAuthorityDefaults.class); this.rolePrefix = grantedAuthorityDefaults.getRolePrefix(); } else { this.rolePrefix = "ROLE_"; } this.REGISTRY = new ExpressionUrlAuthorizationConfigurer.ExpressionInterceptUrlRegistry(context); }
768
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
