spring security的使用

骑士999111

已于 2024-03-14 14:07:38 修改

阅读量43

点赞数

文章标签： spring java spring boot

于 2023-05-14 07:22:02 首次发布

本文链接：https://blog.csdn.net/qishiheyongshi/article/details/130630801

版权

正常做项目校验用户和权限都需要经过这几步：

(1)、校验用户的账号密码，校验失败给用户的提示

(2)、用户密码校验成功后的操作

(3)、用户在操作某个方法时校验用户是否有这个方法的权限，如果没有权限给与提示

security是一个权限校验框架，对以上这些功能都提供了相应的接口，我们只需要实现这些接口即可；

本文最后链接会有一个demo，使用了mysql、redis，大致逻辑是用户在登录时校验账号密码，校验成功则查询用户拥有的方法权限封装成一个对象放在redis中(键是userId)，然后使用jwt对userId加密生成token返回给客户端，用户做其他操作的时候将token传到服务端，服务端解析token获得userId，然后根据userId从redis中获得用户的方法权限，然后检验当前用户访问的方法；

我以下面的项目简单说明一下登录流程：

首先启动 SanGengTokenDemo，使用postMan等工具访问：http://localhost:8888/user/login

Security的配置类SecurityConfig，配置一些全局的配置；

1、在login方法中将用户和密码封装成UsernamePasswordAuthenticationToken，然后调用 authenticate 方法校验用户的账号密码、查询用户的权限封装成 LoginUser，在这一步中我们需要实现 UserDetailsService的 loadUserByUsername 接口用于校验账号密码、查询用户权限；

2、获得用户信息后使用JWT将userId 生成token 返回客户端，并将 loginUser 放入到redis中;

3、校验用户或账号密码失败的接口 AuthenticationEntryPoint.commence ，我们只需要实现这个方法并在 SecurityConfig 配置，校验失败时就会执行

4、权限校验失败的接口 AccessDeniedHandler.handle，我们只需要实现这个方法并在 SecurityConfig 配置，用户没有方法权限时就会执行

5、方法权限的校验

(1)、security 提供了四种权限校验方法，是在方法上面添加注解实现，参考 HelloController 中的 hello 方法，一般不使用这种方式，一个方法通常要被很多个角色访问，这种配置很繁琐

(2)、在全局过滤器中从 loginUser 中获得用户拥有的权限，判断是否包含当前的url;

根据用户查询用户信息：

校验密码：根据注入的passwordEncoder来进行密码的校验，passwordEncoder是在SecurityConfig中注入的BCryptPasswordEncoder，所以数据库中存储的也是加密后的密码，如：passwordEncoder.encode("1234")，见MapperTest;