宁波中软实习day9

权限管理实现（分层SSM项目）

昨天的项目是实现登录，分页功能，今天是在昨天的基础上实现用户权限管理功能，这个权限功能是通过springsecurity实现，区别管理员与普通用户。

1.数据库准备

在实现权限管理之前需要进行数据库的准备，在之前我们有一个userinfo的表，存储用户的信息，现在需要添加一个角色表和用户角色关系表。

2.配置文件

1.导入jar包；
pom.xml的properties中添加：

<spring.security.version>5.0.1.RELEASE</spring.security.version>

pom.xml的dependencies中添加：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-taglibs</artifactId>
    <version>${spring.security.version}</version>
</dependency>

2.配置spring-security.xml文件；

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:security="http://www.springframework.org/schema/security"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans.xsd
    http://www.springframework.org/schema/security
    http://www.springframework.org/schema/security/spring-security.xsd">

    <security:global-method-security pre-post-annotations="enabled" jsr250-annotations="enabled" secured-annotations="enabled"></security:global-method-security>

    <!-- 配置不拦截的资源 -->
    <security:http pattern="/login.jsp" security="none"/>
    <security:http pattern="/failer.jsp" security="none"/>
    <security:http pattern="/css/**" security="none"/>
    <security:http pattern="/img/**" security="none"/>
    <security:http pattern="/plugins/**" security="none"/>
    <!--
       配置具体的规则
       auto-config="true" 不用自己编写登录的页面，框架提供默认登录页面
       use-expressions="false"    是否使用SPEL表达式（没学习过）
    -->
    <security:http auto-config="true" use-expressions="true">
        <!-- 配置具体的拦截的规则 pattern="请求路径的规则" access="访问系统的人，必须有ROLE_USER的角色" -->
        <security:intercept-url pattern="/**" access="hasAnyRole('ROLE_USER','ROLE_ADMIN')"/>

        <security:form-login login-page="/login.jsp"
                             login-processing-url="/login.do"
                            default-target-url="/index.jsp"
                            authentication-failure-url="/failer.jsp"
                            authentication-success-forward-url="/pages/main.jsp"/>

        <!-- 关闭跨域请求 -->
        <security:csrf disabled="true"/>

        <!--退出并跳转到首页-->
        <security:logout invalidate-session="true" logout-url="/logout.do" logout-success-url="/login.jsp"></security:logout>

    </security:http>

    <!-- 切换成数据库中的用户名和密码 -->
    <security:authentication-manager>
        <security:authentication-provider user-service-ref="userService">
            <!-- 配置加密的方式
            <security:password-encoder ref="passwordEncoder"/>　-->
        </security:authentication-provider>
    </security:authentication-manager>

    <!-- 配置加密类 -->
    <bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>
    <!-- <bean id="webexpressionHandler" class="org.springframework.security.web.access.expression.DefaultWebSecurityExpressionHandler" />-->
    <!-- 提供了入门的方式，在内存中存入用户名和密码
    <security:authentication-manager>
       <security:authentication-provider>
          <security:user-service>
             <security:user name="admin" password="{noop}admin" authorities="ROLE_USER"/>
          </security:user-service>
       </security:authentication-provider>
    </security:authentication-manager>
    -->

</beans>

3.web.xml文件中添加springsecurity过滤器；

<!--添加springsecurity过滤器-->
<filter>
  <filter-name>springSecurityFilterChain</filter-name>
  <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
</filter>
<filter-mapping>
  <filter-name>springSecurityFilterChain</filter-name>
  <url-pattern>/*</url-pattern>
</filter-mapping>

4.web.xml中加载springsecurity.xml；

<param-value>classpath*:applicationContext.xml,classpath*:spring-security.xml</param-value>

3.登陆实现权限管理

首先看一下看一下之前登陆操作的实现过程，是通过controller实现登录及跳转功能；

通过权限管理，我们放弃了controller层的使用，通过springsecurity调用service层实现；

下面简要说明一下两者之间转换的过程：

1.编写bean层的类；
role：

package com.bean;

public class Role {
    private int id;
    private String rolename;
    private String desc;

    public Role() {
    }

    public Role(String rolename, String desc) {
        this.rolename = rolename;
        this.desc = desc;
    }

    public int getId() {
        return id;
    }

    public void setId(int id) {
        this.id = id;
    }

    public String getRolename() {
        return rolename;
    }

    public void setRolename(String rolename) {
        this.rolename = rolename;
    }

    public String getDesc() {
        return desc;
    }

    public void setDesc(String desc) {
        this.desc = desc;
    }

    @Override
    public String toString() {
        return "Role{" +
                "id=" + id +
                ", rolename='" + rolename + '\'' +
                ", desc='" + desc + '\'' +
                '}';
    }
}

relation：

package com.bean;

public class Relation {
    private int userid;
    private int roleid;

    public Relation(int userid, int roleid) {
        this.userid = userid;
        this.roleid = roleid;
    }

    public Relation() {
    }

    public int getUserid() {
        return userid;
    }

    public void setUserid(int userid) {
        this.userid = userid;
    }

    public int getRoleid() {
        return roleid;
    }

    public void setRoleid(int roleid) {
        this.roleid = roleid;
    }
}

2.dao层添加相应的方法；
selectByUsername（通过username查找userinfo）：

public UserInfo selectByUsername(String username);

findRoleByUserId（通过用户id查找用户角色）：

public List<Role> findRoleByUserId(int userid);

3.service层实现相关方法；
IUserService继承相关类：

public interface IUserService extends UserDetailsService {
    public Boolean doLogIn(UserInfo userInfo);
    public List<UserInfo> findAllUser(int page, int size);
}

UserService实现相关方法：

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    UserInfo userInfo = iUserDao.selectByUsername(username);
    User user = null;
    if(null != userInfo){
        List<Role> roles = iRoleDao.findRoleByUserId(userInfo.getId());
        user = new User(userInfo.getUsername(),"{noop}"+userInfo.getPassword(),getAuthories(roles));
    }
    return user;
}

private List<SimpleGrantedAuthority> getAuthories(List<Role> roles) {
    List<SimpleGrantedAuthority> list = new ArrayList<>();
    for(Role role : roles){
        list.add(new SimpleGrantedAuthority("ROLE_"+role.getRolename()));
    }
    return list;
}

4.jsp文件修改；
login.jsp修改提交路径：

<form action="${pageContext.request.contextPath}/login.do" method="post">

注意：jsp文件提交的参数需与处理函数的参数一致，不然获取不到该参数。

4.添加用户名

此功能是在用户登录后在页面头部和导航栏中添加用户名信息，以及实现管理员用户与普通用户功能界面的区别；
1.配置header.jsp和aside.jsp：
在头部添加：

<%@taglib prefix="security" uri="http://www.springframework.org/security/tags" %>

2.在用户界面头部用户图片后进行用户名的展示：
header.jsp：

<a href="#"
   class="dropdown-toggle" data-toggle="dropdown"> <img
      src="${pageContext.request.contextPath}/img/user2-160x160.jpg"
      class="user-image" alt="User Image"> <span class="hidden-xs">
   <security:authentication property="principal.username"></security:authentication>
   </span>
</a>

3.在用户界面导航栏用户图片后进行用户名的展示：
aside.jsp：

div class="pull-left info">
   <p>
      <security:authentication property="principal.username"></security:authentication>
   </p>
   <a href="#"><i class="fa fa-circle text-success"></i> 在线</a>
</div>

4.控制“用户管理”功能；
该功能应该是管理员的功能，因此需要对用户角色进行识别，一般用户不具有此功能；
aside.jsp：

li id="system-setting">
   <security:authorize access="hasRole('')">
   <a
   href="${pageContext.request.contextPath}/user/findAllUser.do?page=1&size=2"> <i
      class="fa fa-circle-o"></i> 用户管理
</a>
   </security:authorize>
</li>

access中应该是ADMIN,但是不知道为什么我的里面没有这个，所以这个用户管理功能的角色识别有一点问题。

5.结果