第四章 搭建基于Spring-boot/cloud应用框架之security认证授权

最新推荐文章于 2024-09-19 21:06:56 发布
最新推荐文章于 2024-09-19 21:06:56 发布
阅读量348 收藏 1
点赞数 1
分类专栏： # 应用类 文章标签： spring boot spring 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/dengzisheng/article/details/106523256
版权

文章目录

前言

前三张已经把应用框架的结构和最核心的Core模块已经分析完了，在实际开发中，我们只需要在我们的业务应用中引路核心maven最可以开始我们的业务开发了。Core处理了最基本的Web相关操作，如统一数据格式，统一异常，统一参数校验，统一上下文，解析器自定义；统一日志处理，统一日志（logback）配置；Mybatis配置封装，常用工具类；基础常量等实体；集成数据库版本管理（liqubase）定义了统一规范，也可灵活自定义；同时引入了nacos作为注册服务配置中心等。引入Core不论是单体应用还是微服务应用都能快速进行开发。读者也可以自己下载源码，进行自定义和扩展。

  <dependency>
      <groupId>com.mars.fw</groupId>
      <artifactId>FW-CORE</artifactId>
      <version>1.0.0-SNAPSHOT</version>
 </dependency>

不论是做web开发，还是app开发都绕不开一个问题，认证和授权；我们可以使用比较流行的框架Shiro或者Spring-security又或是自己定义途径很多；这边我使用的是基于spring-security来进行封装和自定义的。首先先来看下模块的结构：整个FW-SECURITY
分成认证和授权两大块：图中已经很清晰的展现了各个模块的主要实现；授权这一块如果是基于微服务，可以在网关层做。
在这里插入图片描述

模块结构

在这里插入图片描述

设计思路

spring-security框架已经帮我们把，请求的整个路径处理的很好了，在请求链路中有去多前置和后置的handler实现，可以使用默认也可以我们自定义；和勾子很像，我们可以很轻松的通过配置，在我们想要的节点定义过滤器或者handler来实现我们自己的逻辑。并且它能够通过配置解决跨域等问题。下面我用流程图的方式来说明：
在这里插入图片描述

配置

上面的图已经很清晰的展现了设计的思路，下面我们来看具体的实现。我将从配置说起，spring-security和spring-boot集成，所以我们只要简单的引入maven配置：

maven配置
 <dependencies>
        <dependency>
            <groupId>com.mars.fw</groupId>
            <artifactId>FW-CORE</artifactId>
            <version>1.0.0-SNAPSHOT</version>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.7.0</version>
        </dependency>
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <version>1.18.10</version>
        </dependency>
    </dependencies>
WebSecurityConfigurerAdapter配置

spring-security的所有配置都可以通过重写WebSecurityConfigurerAdapter的方法来配置。我们自定义一个类KingSecurityConfigure 继承WebSecurityConfigurerAdapter；接着我们来重写里面的部分方法。

重写configure(HttpSecurity http)

HttpSecurity对象是在WebSecurityConfigurerAdapter 的init的方法中获取的；具体的原理不在这边阐述，不然内容会太多，这边更多是以应用来阐述。下图是HttpSecurity和其他类的关系图，在init的方法中将HttpSecurity添加到securityFilterChainBuilders的list中，形成过滤器链。我们通过HttpSecurity对象可以像过滤链中注入我们自定义的过滤和各种配置，这个对象为我们提供了各种各样的入口
在这里插入图片描述

package com.mars.fw.security;

import com.mars.fw.security.authentication.filter.CustomAuthenticationFilter;
import com.mars.fw.security.authentication.handler.AuthFailureHandler;
import com.mars.fw.security.authentication.handler.AuthSuccessHandler;
import com.mars.fw.security.authentication.handler.CustomLogoutSuccessHandler;
import com.mars.fw.security.authentication.provider.MobilePasswordAuthenticationProvider;
import com.mars.fw.security.authentication.provider.SmsAuthenticationProvider;
import com.mars.fw.security.authentication.provider.UserPasswordAuthenticationProvider;
import com.mars.fw.security.authentication.service.CustomUserDetailsService;
import com.mars.fw.security.authorization.filter.AuthenticationFilter;
import com.mars.fw.security.tool.SecurityConstant;
import com.mars.fw.security.tool.model.password.MD5PasswordEncoder;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.ProviderManager;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

import java.util.Arrays;

/**
 * @Author King
 * @create 2020/5/6 15:28
 */
@Configuration
@EnableWebSecurity
public class KingSecurityConfigure extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Bean
    PasswordEncoder passwordEncoder() {
        return new MD5PasswordEncoder();
    }

    @Bean
    SmsAuthenticationProvider smsAuthenticationProvider() {
        return new SmsAuthenticationProvider();
    }

    @Bean
    MobilePasswordAuthenticationProvider emailAuthenticationProvider() {
        return new MobilePasswordAuthenticationProvider();
    }

    @Bean
    AuthenticationProvider customDaoAuthenticationProvider() {
        return new UserPasswordAuthenticationProvider(passwordEncoder(), userDetailsService);
    }

    public CustomAuthenticationFilter authenticationFilter() throws Exception {
        CustomAuthenticationFilter filter = new CustomAuthenticationFilter();
        filter.setAuthenticationManager(authenticationManagerBean());
        filter.setAuthenticationSuccessHandler(new AuthSuccessHandler());
        filter.setAuthenticationFailureHandler(new AuthFailureHandler());
        return filter;
    }

    @Override
    protected AuthenticationManager authenticationManager() throws Exception {
        ProviderManager providerManager = new ProviderManager(Arrays.asList(customDaoAuthenticationProvider(), emailAuthenticationProvider(), smsAuthenticationProvider()));
        providerManager.setEraseCredentialsAfterAuthentication(false);
        return providerManager;
    }

    /**
     * 安全认证配置
     *
     * @param http
     * @throws Exception
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.cors().and().csrf().disable()
                .addFilterBefore(authenticationFilter(), UsernamePasswordAuthenticationFilter.class)
                .formLogin()
                .loginProcessingUrl(SecurityConstant.LOGIN_ACTION)
                .and()
                .logout()
                .logoutUrl(SecurityConstant.LOGOUT_ACTION)
                .logoutSuccessHandler(new CustomLogoutSuccessHandler())
                .and()
                .authorizeRequests()
                .antMatchers("/**").permitAll()
                .anyRequest().authenticated()
                .and()
                .addFilter(new AuthenticationFilter(authenticationManager()));
    }
}

  • cors() 允许跨域处理，然后我们在新建一个配置类在里面注入CorsConfigurationSource的Bean，SpringSecurity会自动寻找name=corsConfigurationSource的Bean
    在这里插入图片描述

  • csrf() CSRF攻击处理

  • addFilterBefore(authenticationFilter(), UsernamePasswordAuthenticationFilter.class)
    在我们定义的authenticationFilter()在UsernamePasswordAuthenticationFilter过滤器之前执行

  • formLogin() 表单登录

  • loginProcessingUrl(SecurityConstant.LOGIN_ACTION) 登录的接口地址

  • logout() 允许注销

  • logoutUrl(SecurityConstant.LOGOUT_ACTION) 注销调用的地址

  • logoutSuccessHandler(new CustomLogoutSuccessHandler()) 注销成功的回调 在里面处理注销后的逻辑

  • authorizeRequests().antMatchers("/**").permitAll().anyRequest().authenticated() 匹配？/下的所有请求都需要走认证接口

  • addFilter(new AuthenticationFilter(authenticationManager())) 在过滤器链中加入鉴权的过滤器，都会先及格过这个过滤器

配置AuthenticationManager

在spring-security的过滤器链路中，当拦截到登录接口的时候，它定义了一套类似责任链的模式来管理认证的数据流；除了最常用的UserDetailService的方式外。spring-security还定义了AuthenticationManager 来管理所有的登录方式，我们可以自定义各种provider来实现不同的认证逻辑，然后通过AuthenticationManager来统一管理，AuthenticationManager可以将所有的provider管理起来，可以定义只要其中一种provider通过认证就认证成功，否则按一定顺序找下一个provider,知道找到成功为止，或者全部失败则认证失败。原理可以在后续单独将这一块在来分析。
这边我定义了三个handler，具体的实现可以在源码中参考。
在这里插入图片描述

认证实现

认证器的实现

上面讲到我定义了三个provider,分别是短信登录，用户名密码登录，手机密码登录，只要满足其中一种就可以登录。
我以现在最常用的短信登录为例子：SmsAuthenticationProvider，可以看到实际上是继承了一个AbstractAuthenticationProvider
AbstractAuthenticationProvider这个了也是我定义的做认证的公共实现。在虚类里面实现AuthenticationProvider接口，这个类里面有两个方法authenticate(Authentication authentication)和boolean supports(Class<?> authentication)
authenticate：是我们认证逻辑的实现
supports：自定义逻辑来开启是否开启这个认证逻辑，返回true的时候才会开启这个认证

package com.mars.fw.security.authentication.provider;

import com.mars.fw.security.tool.model.CustomAuthenticationToken;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;

/**
 * @description:定义一个自定义的provider的虚类做认证的公共实现
 * @author: aron
 * @date: 2019-07-03 15:45
 */
public abstract class AbstractAuthenticationProvider implements AuthenticationProvider {

    private CustomAuthenticationToken customAuthenticationToken;


    @Override
    public Authentication authenticate(Authentication authentication) throws AuthenticationException {
        customAuthenticationToken = (CustomAuthenticationToken) authentication;
        return authenticateCustom(customAuthenticationToken);
    }

    @Override
    public boolean supports(Class<?> authentication) {
        return true;
    }

    /**
     * 自定义认证方法 由子类实现
     *
     * @param customAuthenticationToken 自定义参数
     * @return 返回认证的结果 传递到链路中
     */
    protected abstract Authentication authenticateCustom(CustomAuthenticationToken customAuthenticationToken);
}

我们看下具体的实现，authenticateCustom 我们只要实现父类中的这个模板方法,里面的逻辑就不用多讲了短信验证的一个逻辑如果大家要使用短信，需要自己实现短信服务，后续在微服务中也会提供短息服务。

package com.mars.fw.security.authentication.provider;

import com.baomidou.mybatisplus.core.conditions.query.LambdaQueryWrapper;
import com.baomidou.mybatisplus.extension.service.additional.query.impl.LambdaQueryChainWrapper;
import com.mars.fw.cache.CacheService;
import com.mars.fw.common.utils.SpringUtil;
import com.mars.fw.common.utils.StringUtils;
import com.mars.fw.security.authentication.exception.AuthenticationSmsException;
import com.mars.fw.security.authentication.service.CustomUserDetails;
import com.mars.fw.security.entity.UserEntity;
import com.mars.fw.security.mapper.KingUserMapper;
import com.mars.fw.security.tool.model.CustomAuthenticationToken;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.userdetails.UsernameNotFoundException;

/**
 * @description: 自定义短信验证码登录的provider
 * @author: aron
 * @date: 2019-04-20 09:46
 */
public class SmsAuthenticationProvider extends AbstractAuthenticationProvider {

    public static String SMS_CODE = "sms_code";

    @Autowired
    private KingUserMapper kingUserMapper;

    @Override
    protected Authentication authenticateCustom(CustomAuthenticationToken customAuthenticationToken) {
        try {
            String phone = (String) customAuthenticationToken.getPrincipal();
            String smsCode = (String) customAuthenticationToken.getCredentials();
            UserEntity userEntity = kingUserMapper.selectOne(new LambdaQueryWrapper<UserEntity>().eq(UserEntity::getPhone, phone));
            if (userEntity == null) {
                throw new UsernameNotFoundException("手机用户不存在或该手机未绑定用户!");
            }
            //从缓存中获取手机号的短信验证码
            CacheService cacheService = SpringUtil.getBean(CacheService.class);
            Object object = cacheService.get(SMS_CODE + "_" + phone);
            if (null == object) {
                throw new AuthenticationSmsException("短信验证码已过期");
            }
            if (!smsCode.equals(object.toString())) {
                throw new AuthenticationSmsException("短信验证码错误");
            }
            //密码校验通过后 构建数据库用户信息
            CustomUserDetails userAccountDetails = new CustomUserDetails(userEntity);
            UsernamePasswordAuthenticationToken result = new UsernamePasswordAuthenticationToken(userAccountDetails, customAuthenticationToken.getCredentials(), null);
            return result;
        } catch (Exception e) {
            throw new AuthenticationSmsException("手机短信验证登录失败");
        }
    }
}
数据库账号密码实现
钩子实现
加解密实现

授权实现

鉴权过滤器实现
签名实现
接口权限实现
如何使用FW-SECURITY

小结：这个章节内容比较多，后面持续更新。。。

源码地址：源码地址

FREETOSKYMEXU
关注
专栏目录
spring-cloud-security
weixin_39370859的博客
04-12 4663
基于webflux的spring security,即spring-cloud-security
spring-boot/spring-security/spring-cloud全家桶环境搭建
gaston的博客
10-30 768
工具介绍：安装jdk,安装sts,安装mysql(jdk和mysql就不说了这事基础,sts下载地址https://spring.io/tools直接下载符合您的电脑的版本就行,放到合适的目录,解压,运行就能用) 一、代码结构 1.截图 说明:maven project-&gt;imooc-security 打包方式pom作为父工程,添加子项目很简单,打开父项目的pom文件如下图操作： ...
Spring Cloud Security系列教程一：入门
weixin_33963189的博客
10-18 218
本篇有一定的学习曲线，建议先花一点时间了解一下前置知识： Spring Security：http://docs.spring.io/spring-security/site/docs/4.2.2.RELEASE/reference/htmlsingle/ OAuth2（重点），参考文档：http://w...
spring-cloud-starter-security + spring-cloud-starter-oauth2 实现认证授权
最新发布
dh99999900的博客
09-19 1002
spring-cloud-starter-security + spring-cloud-starter-oauth2实现认证授权，OAuth（开发授权）是一个开放标准，允许用户授权第三方应用，访问他们存储在另外的服务提供者上的信息。（OAuth1.0已被完全废止）。OAuth2主要用于校验客户端合法性、产生token、校验token因此OAuth2与Sercurity整合之后，校验顺序：校验客户端合法性——校验用户名密码——产生token——校验token——校验接口权限OAuth2 协议介绍。
Spring Cloud Security
来啊 快活啊
08-27 1万+
发博词Spring Cloud Security一共有两个starter： org.springframework.cloud spring-cloud-starter-oauth2 org.s
基于 Spring Boot、Spring Cloud、Spring Oau-spring-boot-cloud.zip
01-30
在IT领域，Spring框架是Java开发中的一个基石，特别是对于构建微服务架构的企业级应用，Spring Boot和Spring Cloud更是不可或缺的工具。本文将深入探讨基于Spring Boot、Spring Cloud以及Spring OAuth2的综合应用，...
基于Spring-Boot+Spring Cloud+layui开发的前后端分离的企业级微服务框架，包含权限管理，配置中心
01-04
基于Spring Cloud的企业级微服务框架(用户权限管理，配置中心管理，应用管理，....),其核心的设计目标是分离前后端，快速开发部署，学习简单，功能强大，提供快速接入核心接口能力，其目标是帮助企业搭建一套类似...
认证授权-Spring-Cloud Security
qqxhb 资源共享
06-25 1847
1. 基础概念 1.1 用户认证与授权 什么是用户身份认证？ 用户身份认证即用户去访问系统资源时系统要求验证用户的身份信息，身份合法方可继续访问。常见的用户身份认证表现形式有：用户名密码登录，指纹打卡等方式。 什么是用户授权？ 用户认证通过后去访问系统的资源，系统会判断用户是否拥有访问资源的权限，只允许访问有权限的系统资源，没有权限的资源将无法访问，这个过程叫用户授权。 1.2 单点登录 单点...
jasypt-spring-boot：用于Spring启动的Jasypt集成
01-30
Jasypt Spring Boot为Spring Boot应用程序中的属性源提供了加密支持。 有3种方法可以将jasypt-spring-boot集成到您的项目中： 如果使用@SpringBootApplication或@EnableAutoConfiguration只需将启动程序jar jasypt...
Spring Cloud 微服务的安全保护
王浩的技术博客
05-03 2921
上一篇文章中介绍了如何使用Spring Cloud搭建微服务，在本文中讲讲如何对微服务进行安全保护。 在Spring Cloud中对应用进行安全保护通常使用Spring Security，这种方式集成起来非常简单而且很容易扩展现有的应用场景。在分布式环境中Spring Security使用Spring Session和Redis来共享会话。共享会话可以将在微服务网关中登录的用户验证信息传递到系统...
SpringCloud——安全认证（Security）
热门推荐
默存
09-28 6万+
一、SpringCloud Security简介 Spring Cloud Security提供了一组原语，用于构建安全的应用程序和服务，而且操作简便。可以在外部（或集中）进行大量配置的声明性模型有助于实现大型协作的远程组件系统，通常具有中央身份管理服务。它也非常易于在Cloud Foundry等服务平台中使用。在Spring Boot和Spring Security OAu...
springcloud集成Spring Security
youxmm的博客
07-21 2863
1.自定义配置类继承WebSecurityConfigurerAdapter配置类2.通过重写方法来定义安全规则和访问控制。通常用于测试或者开发环境中，因为它并不会对密码进行任何加密，而是将密码以明文的形式存储和验证。存在严重的安全风险，因为密码可以很容易地被窃取和滥用。建议不要在生产环境中使用类似的明文密码存储方式。@Bean//这里配置用户信息,这里暂时使用这种方式将用户存储在内存中//获取一个密码编码器对象@Bean//密码为明文方式//配置安全拦截机制@Override。
基于spring cloud的security权限认证（超详细）
Liu_Shou_Yang的博客
03-03 2669
在网上找了很多基于spring cloud的security权限认证，但是大概都是网关内嵌security、security OAuth2的方式。这里给大家推荐另一种方式。
基于Spring-Boot和Spring-Cloud实现微服务架构学习(一).doc
12-12
Spring Boot和Spring Cloud是现代Java开发中的两大核心框架，它们为构建微服务架构提供了强大的支持。Spring Boot简化了Spring应用程序的开发过程，通过内置的Web服务器、自动配置和丰富的起步依赖，使得开发者能够...
SpringCloudSecurity
qq_40414209的博客
08-22 255
OAuth2 简介 Oauth2使用入门 Spring Cloud Security OAuth2（一）：搭建授权服务 ##　认证服务器 maven配置 <dependency> <groupId>org.springframework.cloud</groupId> <artifactId>spring-cloud-starter-security</artifactId>
Spring Cloud 之 Spring-Security
小尾寒羊的博客
07-31 4111
一、什么是SpringSecurity Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，为应用系...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值