权限管理-spring-security的使用

最新推荐文章于 2023-03-21 11:47:18 发布

hades9805

最新推荐文章于 2023-03-21 11:47:18 发布

阅读量317

点赞数

分类专栏： spring 文章标签： spring-security 权限管理

本文链接：https://blog.csdn.net/freestyle3210/article/details/91357615

版权

spring 专栏收录该内容

1 篇文章 0 订阅

订阅专栏

spring-security

依赖

      <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-web</artifactId>
            <version>${spring.security.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-config</artifactId>
            <version>${spring.security.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-core</artifactId>
            <version>${spring.security.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-taglibs</artifactId>
            <version>${spring.security.version}</version>
        </dependency>

        <dependency>
            <groupId>javax.annotation</groupId>
            <artifactId>jsr250-api</artifactId>
            <version>1.0</version>
        </dependency>

配置文件

web.xml

    <!--配置加载类路径的配置文件-->
  <context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>classpath*:applicationContext.xml,classpath*:spring-security.xml
    </param-value>
  </context-param>
  
  <!--spring-security配置-->
  <filter>
    <filter-name>springSecurityFilterChain</filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>springSecurityFilterChain</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

spring-security

<beans xmlns="http://www.springframework.org/schema/beans"
       xmlns:security="http://www.springframework.org/schema/security"
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
       xsi:schemaLocation="http://www.springframework.org/schema/beans
    http://www.springframework.org/schema/beans/spring-beans.xsd
    http://www.springframework.org/schema/security
    http://www.springframework.org/schema/security/spring-security.xsd">

    <!--开启权限控制
    
Spring Security在方法的权限控制上支持三种类型的注解，
    JSR-250注解、@Secured注解、支持表达式的注解，
    这三种注解默认都是没有启用的，
    需要单独通过global-method-security元素的对应属性进行启用

    <security:global-method-security jsr250-annotations="enabled"/>
    <security:global-method-security secured-annotations="enabled"/>
    <security:global-method-security pre-post-annotations="enabled"/>
    -->
    <security:global-method-security pre-post-annotations="enabled" jsr250-annotations="enabled"/>

    <!-- 配置不拦截的资源 -->
    <security:http pattern="/login.jsp" security="none"/>
    <security:http pattern="/failer.jsp" security="none"/>
    <security:http pattern="/css/**" security="none"/>
    <security:http pattern="/img/**" security="none"/>
    <security:http pattern="/plugins/**" security="none"/>

    <!--
    	配置具体的规则
    	auto-config="true"	不用自己编写登录的页面，框架提供默认登录页面
    	use-expressions="false"	是否使用SPEL表达式（没学习过）
    	设置为true
    -->
    <!--添加这个bean  可以设置use-expressions="false"  也可以再页面使用SPEL表达式-->
    <!--<bean id="webexpressionHandler" class="org.springframework.security.web.access.expression.DefaultWebSecurityExpressionHandler"></bean>-->

    <security:http auto-config="true" use-expressions="true">

        <security:remember-me   data-source-ref = "dataSource"/>

        <!-- 配置具体的拦截的规则 pattern="请求路径的规则" access="访问系统的人，必须有ROLE_USER的角色" -->
        <!--设置了使用SPEL表达式   access就必须使用表达式  不设置 可以 access="ROLE_USER,ROLE_ADMIN"-->
        <security:intercept-url pattern="/**" access="hasAnyRole('ROLE_USER','ROLE_ADMIN')"/>

        <!-- 定义跳转的具体的页面
        -->
        <security:form-login
                login-page="/login.jsp"
                login-processing-url="/login.do"
                default-target-url="/index.jsp"
                authentication-failure-url="/failer.jsp"
                authentication-success-forward-url="/pages/main.jsp"
        />

        <!-- 关闭跨域请求 -->
        <security:csrf disabled="true"/>
        <!-- 登录退出 spring-security里写好的logout.do-->
        <security:logout invalidate-session="true" logout-url="/logout.do" logout-success-url="/login.jsp" />

    </security:http>



    <!-- 切换成数据库中的用户名和密码 -->
    <security:authentication-manager>
        <!--验证使用的service 需要继承UserDetailsService 并且命名-->
        <security:authentication-provider user-service-ref="userService">
            <!-- 配置加密的方式x-->
            <security:password-encoder ref="passwordEncoder"/>
        </security:authentication-provider>
    </security:authentication-manager>

    <!-- 配置加密类 -->
    <bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>

  <!--   &lt;!&ndash;提供了入门的方式，在内存中存入用户名和密码&ndash;&gt;
    <security:authentication-manager>
    	<security:authentication-provider>
    		<security:user-service>
    			<security:user name="admin" password="{noop}admin" authorities="ROLE_USER"/>
    		</security:user-service>
    	</security:authentication-provider>
    </security:authentication-manager>
-->
</beans>

方法级权限控制

开启权限控制

<!--
Spring Security在方法的权限控制上支持三种类型的注解，
    JSR-250注解、@Secured注解、支持表达式的注解，
    这三种注解默认都是没有启用的，
    需要单独通过global-method-security元素的对应属性进行启用
-->
    <security:global-method-security jsr250-annotations="enabled"/>
    <security:global-method-security secured-annotations="enabled"/>
    <security:global-method-security pre-post-annotations="enabled"/>

jsr250注解使用

//该方法只要具有"USER", "ADMIN"任意一种权限就可以访问。这里可以省略前缀ROLE_，实际的权限可能是ROLE_ADMIN
@RolesAllowed({"USER", "ADMIN"}) 
 @RequestMapping("/findAll.do")
  public ModelAndView findAll() throws Exception { }

支持表达式的注解

//该方法只有用户名为jack的用户才能访问。
@PreAuthorize("authentication.principal.username=='jack'")
@RequestMapping("/save.do")
    public String save(UserInfo user) throws Exception { }


//这里表示在changePassword方法执行之前，判断方法参数userId的值是否等于principal中保存的当前用户的userId，或者当前用户是否具有ROLE_ADMIN权限，两种符合其一，就可以访问该方法。
@PreAuthorize("#userId == authentication.principal.userId or hasAuthority(‘ADMIN’)")
void changePassword(@RequestParam("userId") long userId ){ }

页面权限控制

依赖

 <dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-taglibs</artifactId>
    <version>version</version>
</dependency>

页面导入标签库

 <%@taglib uri="http://www.springframework.org/security/tags" prefix="security"%>

常用标签

<!--显示当前用户的用户名-->
<security:authentication property="principal.username"></security:authentication>


<!-- 用来判断普通权限的，通过判断用户是否具有对应的权限而控制其所包含内容的显示

有ADMIN权限的用户才显示此标签所包含的内容
-->
<security:authorize access="hasRole('ROLE_ADMIN')">   
    <a     href="${pageContext.request.contextPath}/user/findAll.do"> 
    <i  class="fa fa-circle-o"></i> 用户管理
    </a>     
</security:authorize>

用户登录

配置文件
配置了登录界面/失败界面，可登录权限，加密方式

 <security:http auto-config="true" use-expressions="true">
        <security:remember-me   data-source-ref = "dataSource"/>
        <!-- 配置具体的拦截的规则 pattern="请求路径的规则" access="访问系统的人，必须有ROLE_USER的角色" -->
        <!--设置了使用SPEL表达式   access就必须使用表达式  不设置 可以 access="ROLE_USER,ROLE_ADMIN"-->
        <security:intercept-url pattern="/**" access="hasAnyRole('ROLE_USER','ROLE_ADMIN')"/>

        <!-- 定义跳转的具体的页面
        -->
        <security:form-login
                login-page="/login.jsp"
                login-processing-url="/login.do"
                default-target-url="/index.jsp"
                authentication-failure-url="/failer.jsp"
                authentication-success-forward-url="/pages/main.jsp"
        />

        <!-- 关闭跨域请求 -->
        <security:csrf disabled="true"/>
        <!-- 登录退出 spring-security里写好的logout.do-->
        <security:logout invalidate-session="true" logout-url="/logout.do" logout-success-url="/login.jsp" />

    </security:http>

    <!-- 切换成数据库中的用户名和密码 -->
    <security:authentication-manager>
        <!--验证使用的service 需要继承UserDetailsService 并且命名-->
        <security:authentication-provider user-service-ref="userService">
            <!-- 配置加密的方式x-->
            <security:password-encoder ref="passwordEncoder"/>
        </security:authentication-provider>
    </security:authentication-manager>

    <!-- 配置加密类 -->
    <bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>

代码
用户的密码必须加密后，才能登录成功


//指定service的名字，用于spring-security
@Service("userService")
@Transactional
public class IUserServiceImpl implements IUserService {
    @Autowired
    private IUserDao iUserDao;

    // spring-security提供的加密的类
    @Autowired
    private BCryptPasswordEncoder bCryptPasswordEncoder;

    /*
    * 实现spring-security 的验证方法loadUserByUsername
    * */
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        UserInfo userInfo=null;
        try {
            userInfo  = iUserDao.findByuserName(username);
        } catch (Exception e) {
            e.printStackTrace();
        }
        //获取可访问的角色
        List<SimpleGrantedAuthority> authority = getAuthority(userInfo.getRoles());
        //处理用户对象封装成UserDetails
        //这里的user是spring-security提供的user,实现了UserDetails
        //user的status为0，账户不可用  enable为false
        User user =new User(userInfo.getUsername(),userInfo.getPassword(),userInfo.getStatus()==0?false:true,true,true,true,authority);
        return user;
    }

/**
     * 装入角色描述  允许访问的角色ROLE
     * 返回list集合
     * */
    public List<SimpleGrantedAuthority> getAuthority(List<Role> roles){
        List<SimpleGrantedAuthority> list=new ArrayList<>();
        for(Role role:roles){
            String roleName = role.getRoleName();
            list.add(new SimpleGrantedAuthority("ROLE_"+role.getRoleName()));
        }
        return list;
    }
    
   /*
    * 添加用户
    * */
    @Override
    public void save(UserInfo userInfo) throws Exception {
        //保存时对密码进行加密处理
        userInfo.setPassword(bCryptPasswordEncoder.encode(userInfo.getPassword()));
       
       iUserDao.save(userInfo);
    }

hades9805

关注

0
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
权限管理-spring-security的使用

spring-security依赖 <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-web</artifactId> &lt...
复制链接

扫一扫

专栏目录