Spring Security（三）

一、RBAC

RBAC：用户是属于角色的，角色拥有权限的集合。用户数据某个角色，他就具有角色对应的权限。
权限：能对资源的操作，比如增加，修改，删除，查看等等。
角色：自定义的，表示权限的集合。一个角色可以有多个权限。
RBAC设计中的表：
1.用户表：用户认证（登录用到的表）
用户名，密码，是否启用，是否锁定等信息
2.角色表：定义角色信息
角色名称，角色的描述
3.用户和角色的关系表：用户和角色是多对多的关系
一个用户可以有多个角色，一个角色可以有多个用户
4.权限表，角色和权限的关系表
角色可以有哪些权限

二、Spring Specurity中认证的接口和类

1.UserDetails接口类：

String getPassword();  // 账户密码

String getUsername();  // 用户名称

boolean isAccountNonExpired();  // 账号是否过期

boolean isAccountNonLocked();  // 账号是否锁定

boolean isCredentialsNonExpired();  // 证书是否过期

boolean isEnabled();  // 账号是否启用

Collection<? extends GrantedAuthority> getAuthorities();  // 权限集合

User实现类

2.User实现类

可以：自定义实现UserDetails接口，作为你的系统中的用户类。这个类可以交给spring security使用
public User(String username, String password, Collection<? extends GrantedAuthority> authorities) {
    this(username, password, true, true, true, true, authorities);
}
public User(String username, String password, boolean enabled, boolean accountNonExpired, boolean credentialsNonExpired, boolean accountNonLocked, Collection<? extends GrantedAuthority> authorities) {
    if (username != null && !"".equals(username) && password != null) {}

3.UserDetailsService接口

主要作用：获取用户信息，得到是UserDetails对象。一般项目中都需要自定义类实现这个接口，从数据库中获取数据。
UserDetailsService接口有一个方法需要实现：
 UserDetails loadUserByUsername(String var1) ；根据用户名称，获取用户信息（用户名称，密码，角色结合，是否可用，是否锁定等信息）

4.UserDetailsService接口实现类

（1）InMemoryUserDetailsManager：在内存中维护用户信息。
优点：使用方便
缺点：数据不是持久的。系统重启后数据恢复原样
createUser：创建用户
deleteUser：删除用户
userExists：用户是否存在
loadUserByUsername：通过用户名加载用户
changePassword：更改用户密码
数据库文件：

create table users(username varchar_ignorecase(50) not null primary key,password varchar_ignorecase(500) not null,enabled boolean not null);
create table authorities (username varchar_ignorecase(50) not null,authority varchar_ignorecase(50) not null,constraint fk_authorities_users foreign key(username) references users(username));
create unique index ix_auth_username on authorities (username,authority);