Spring Security 用户认证

最新推荐文章于 2023-06-29 14:00:00 发布
最新推荐文章于 2023-06-29 14:00:00 发布
阅读量466 收藏 1
点赞数 2
分类专栏： Spring Security 源码解析及应用
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_34125999/article/details/115592047
版权

前言

描述： Spring Security 入门系列文章。
【1】Spring Security 用户认证
【2】Spring Security 用户授权

1 SpringSecurity 简介

在这里插入图片描述

1.1 框架简介

Spring 是非常流行和成功的 Java 应用开发框架，Spring Security 正是 Spring 家族中的成员。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。
正如你可能知道的关于安全方面的两个主要区域是“认证”和“授权”（或者访问控制），一般来说，Web 应用的安全性包括用户认证（Authentication）和用户授权（Authorization）两个部分，这两点也是 Spring Security 重要核心功能。
（1）用户认证指的是：验证某个用户是否为系统中的合法主体，也就是说用户能否访问该系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认证过程。通俗点说就是系统认为用户是否能登录。
（2）用户授权指的是验证某个用户是否有权限执行某个操作。在一个系统中，不同用户所具有的权限是不同的。比如对一个文件来说，有的用户只能进行读取，而有的用户可以进行修改。一般来说，系统会为不同的用户分配不同的角色，而每个角色则对应一系列的权限。通俗点讲就是系统判断用户是否有权限去做某些事情。

1.2 Spring Security和Shiro比较

在 Java 生态中，目前有 Spring Security 和 Apache Shiro 两个安全框架，可以完成认证和授权的功能。

相同点：

1：认证功能
2：授权功能
3：加密功能
4：会话管理
5：缓存支持
6：rememberMe功能.......

不同点：
优点：

1：Spring Security基于Spring开发，项目中如果使用Spring作为基础，配合Spring Security做权限更加
方便，而Shiro需要和Spring进行整合开发
2：Spring Security功能比Shiro更加丰富些，例如安全防护
3：Spring Security社区资源比Shiro丰富

缺点：

1：Shiro的配置和使用比较简单，Spring Security上手复杂
2：Shiro依赖性低，不需要任何框架和容器，可以独立运行，而Spring Security依赖于Spring容器

一般来说，常见的安全管理技术栈的组合是这样的：

SSM + Shiro 
Spring Boot/Spring Cloud +Spring Security

1.3 权限管理中的相关概念

1.3.1 主体

英文单词：principal
使用系统的用户或设备或从其他系统远程登录的用户等等。简单说就是谁使用系统谁就是主体。

1.3.2 认证

英文单词：authentication
权限管理系统确认一个主体的身份，允许主体进入系统。简单说就是“主体”证明自己是谁。笼统的认为就是以前所做的登录操作。

1.3.3 授权

英文单词：authorization
将操作系统的“权力”“授予”“主体”，这样主体就具备了操作系统中特定功能的能力。

2 简单用户认证

在这里插入图片描述

2.1 pom

<parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.3.1.RELEASE</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>

    <properties>
        <java.version>1.8</java.version>
    </properties>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <!--测试-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
        <dependency>
            <groupId>junit</groupId>
            <artifactId>junit</artifactId>
        </dependency>
        <!--公用依赖-->
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
        </dependency>
        <dependency>
            <groupId>com.alibaba</groupId>
            <artifactId>fastjson</artifactId>
            <version>1.2.71</version>
        </dependency>
        <dependency>
            <groupId>org.apache.commons</groupId>
            <artifactId>commons-collections4</artifactId>
            <version>4.2</version>
        </dependency>
        <dependency>
            <groupId>org.apache.commons</groupId>
            <artifactId>commons-lang3</artifactId>
        </dependency>
    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
            <plugin>
                <groupId>org.apache.maven.plugins</groupId>
                <artifactId>maven-compiler-plugin</artifactId>
                <version>3.6.1</version>
                <configuration>
                    <source>1.8</source>
                    <target>1.8</target>
                </configuration>
            </plugin>
        </plugins>
    </build>

2.2 application.yml

server:
  port: 8888

2.3 SpringSecurity 用户自定义配置类

描述： 用户需要继承WebSecurityConfigurerAdapter来实现自定义配置。

/**
 * @Description: Spring Security 自定义配置类
 * @Author: rosh
 * @Date: 2021/4/10 11:16
 */
@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {


    @Autowired
    @Qualifier("roshUserDetailService")
    private RoshUserDetailService roshUserDetailService;

    /**
     *  配置登录用户名、密码及角色
     */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(roshUserDetailService).passwordEncoder(passwordEncoder());
    }


    /**
     * 配置加密方式，官方推荐加密方式为BCrypt
     */
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

}

2.4 用户自定义认证方式

描述： 用户需要实现UserDetailsService 来实现自定义用户认证

/**
 * @Description: 自定义认证类
 * @Author: rosh
 * @Date: 2021/4/11 10:30
 */
@Service("roshUserDetailService")
public class RoshUserDetailService implements UserDetailsService {

    /**
     * UserDetails:返回用户的主体
     */
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        //配置一个admin、123456的用户
        List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("admin");
        return new User("admin", new BCryptPasswordEncoder().encode("123456"), auths);
    }
}

2.5 相关业务类


@AllArgsConstructor
@NoArgsConstructor
@Data
public class Student {

    private Integer id;

    private String name;

    private String hobby;

}


@RestController
@RequestMapping("/student")
public class StudentController {


    @GetMapping("/{id}")
    public Student getStudent(@PathVariable("id") Integer id) {
        return new Student(id, "rosh", "basketBall");
    }

}

@SpringBootApplication
public class RoshSerucityApplication {
    public static void main(String[] args) {
        SpringApplication.run(RoshSerucityApplication.class);
    }

}

2.6 测试

访问接口：http://localhost:8888/student/1
在这里插入图片描述
描述： 输入admin、123456
在这里插入图片描述

3 数据库认证

3.1 数据库环境

-- 创表语句
CREATE TABLE `t_user` (
  `id` bigint(20) NOT NULL AUTO_INCREMENT,
  `username` varchar(20) NOT NULL,
  `password` varchar(100) DEFAULT NULL,
  PRIMARY KEY (`id`),
  UNIQUE KEY `username` (`username`)
) ENGINE=InnoDB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8;

-- 插入管理员数据admin、123456
insert into t_user(username,password) VALUES('admin','$2a$10$YDq3287Iw86gFr3RyKl7fe7JYQCkoic5K0XOgoSDpJgQEdYkWvxKG')

在这里插入图片描述

3.2 更新pom文件

 	  <!--数据库-->
        <dependency>
            <groupId>com.baomidou</groupId>
            <artifactId>mybatis-plus-boot-starter</artifactId>
            <version>3.3.2</version>
        </dependency>
        <!-- https://mvnrepository.com/artifact/mysql/mysql-connector-java -->
        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
            <version>5.1.47</version>
        </dependency>

在这里插入图片描述

3.3 修改application.yml

server:
  port: 8888

spring:
    #数据库连接池
  datasource:
    url: jdbc:mysql://localhost:3306/test?useUnicode=true&characterEncoding=UTF-8&useSSL=false&serverTimezone=Asia/Shanghai
    username: root
    password: 123456
    driver-class-name: com.mysql.jdbc.Driver
mybatis-plus:
  #默认值classpath*:/mapper/**/*.xml
  mapper-locations: classpath:/mapper/*.xml
  #配置全局自增ID
  global-config:
    db-config:
      id-type: auto

3.4 mybatis业务类

在这里插入图片描述

@Data
@TableName(value = "t_user")
public class UserEntity {

    @TableId
    private Integer id;

    private String username;

    private String password;

}
@Mapper
public interface UserMapper extends BaseMapper<UserEntity> {
}

@Service
public class UserService extends ServiceImpl<UserMapper, UserEntity> {

    public UserEntity findUserByUsername(@NonNull final String username) {
        QueryWrapper<UserEntity> wrapper = new QueryWrapper<>();
        wrapper.eq("username", username);
        return baseMapper.selectOne(wrapper);
    }
}

3.5 修改RoshSerucityApplication

@SpringBootApplication
@MapperScan("com.rosh.security.mapper")
public class RoshSerucityApplication {

    public static void main(String[] args) {
        SpringApplication.run(RoshSerucityApplication.class);
    }

}

3.6 修改用户自定义认证类

描述： 修改RoshUserDetailService

@Service("roshUserDetailService")
public class RoshUserDetailService implements UserDetailsService {

    @Autowired
    private UserService userService;

    /**
     * UserDetails:返回用户的主体
     */
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {

        //1 查询db
        UserEntity user = userService.findUserByUsername(username);

        //2 不存在认证失败
        if (user == null) {
            throw new UsernameNotFoundException("用户名不存在");
        }
        //3 校验
        List<GrantedAuthority> auths = AuthorityUtils.commaSeparatedStringToAuthorityList("admin");
        return new User(user.getUsername(), user.getPassword(), auths);
    }
}

3.7 测试

http://localhost:8888/student/1

描述： 错误登录
在这里插入图片描述

描述： 正确登录
在这里插入图片描述

4 自定义登录页面及访问控制

4.1 修改Spring Security 自定义配置类

描述： 重写configure方法。
在这里插入图片描述

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {


    @Autowired
    @Qualifier("roshUserDetailService")
    private RoshUserDetailService roshUserDetailService;

    /**
     *  配置登录用户名、密码及角色
     */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(roshUserDetailService).passwordEncoder(passwordEncoder());
    }


    /**
     * 配置加密方式，官方推荐加密方式为BCrypt
     */
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }


    /**
     * 自定义页面配置、登录访问配置
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.formLogin()
                //配置登录页面
                .loginPage("/login.html")
                //登录访问路径
                .loginProcessingUrl("/user/login").permitAll()
                //登录成功访问接口
                .defaultSuccessUrl("/user/login/success")
                //登录失败访问的接口
                .failureForwardUrl("/user/login/failed")
                //配置url访问权限，登录url可以直接访问，不需要认证
                .and().authorizeRequests().antMatchers("/login.html", "/user/login/failed").permitAll()
                //其余url需要认证才能访问
                .anyRequest().authenticated()
                //关闭csrf
                .and().csrf().disable();
    }
}

4.2 登录页面

在这里插入图片描述
描述： 表单方法必须为post，name必须为username,password。查看核心过滤器，UsernamePasswordAuthenticationFilter。

在这里插入图片描述

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>登录页面</title>
</head>
<body>


<form action="/user/login"  method="post">
    用户名：<input type="text" name="username">
    <br/>
    密码: <input type="text" name="password">
    <br/>
    <input type="submit" value="登录">
</form>


</body>
</html>

4.3 相关业务类

@RestController
@RequestMapping("/user")
public class UserController {

    @GetMapping("/login/success")
    public String loginSuccess() {
        return "用户认证成功";
    }

    @PostMapping("/login/failed")
    public String loginFailed() {
        return "用户认证失败";
    }


}

4.4 测试

描述： 直接访问student接口：http://localhost:8888/student/1会重定向到登录页面

在这里插入图片描述
在这里插入图片描述
描述： 登录失败测试。

在这里插入图片描述
在这里插入图片描述
描述： 登录成功测试
在这里插入图片描述
在这里插入图片描述

响彻天堂丶
关注
  • 2
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
Spring security自定义用户认证流程详解
08-24
主要介绍了Spring security自定义用户认证流程详解,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
spring security用户认证
qq_21344887的博客
09-11 312
User 类实现UserDetls 接口。 代码如下 @Data @EqualsAndHashCode(callSuper = false) public class User implements Serializable, UserDetails { private static final long serialVersionUID = 1L; @TableId(value = "id", type = IdType.AUTO) private Integer id; .
Spring Security中的用户认证
...
04-12 117
方式一：在application.properties中配置 spring.security.user.name=qrx spring.security.user.password=1234 在Spring Security入门案例基础上进行修改。 方式二：编写配置类 在Spring Security入门案例基础上进行修改。 package com.rixin.springsecuritydemo1.config; import org.springframework.context.annotatio
SpringSecuity用户认证（详解）
酷小亚
09-29 1033
SpringSecuity用户认证（通俗易懂版） 一、搭建SpringBoot工程 二、系统默认用户认证 三、设置登录用户名和密码 1、通过配置文件 2、通过配置类 3、自定义编写实现类 【常用】 四、根据数据库设置用户认证账号密码 1、创建数据库、导入依赖、实体类 2、配置数据库信息 3、整合MP，创建接口，继承MP的接口 4、在MyUserDetailsService调用mapper里面的方法查询数据库进行用户认证
SpringSecurity基础：用户认证
Leon_Jinhai_Sun的博客
09-14 338
SpringSecurity基础：用户认证
Spring Security用户认证
Relievedz的博客
03-17 266
"user_name": "{\"createTime\":\"2022-09-28T08:32:03\",\"id\":\"51\",\"name\":\"学生2\",\"sex\":\"1\",\"status\":\"1\",\"username\":\"stu2\",\"utype\":\"101001\"}",//如果查到了用户拿到正确的密码，最终封装成一个UserDetails对象给spring security框架返回，由框架进行密码对比。
Spring security认证两类用户代码实例
08-19
主要介绍了Spring security认证两类用户代码实例,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
Spring Cloud Gateway 整合 Spring Security 统一登录认证鉴权
02-24
1.本项目为SpringCloud Gateway的微服务框架，整合了SpringSecurity，微服务间使用Redis来获取登陆的用户信息。 2.由于Gat
spring Security的自定义用户认证过程详解
08-25
主要介绍了spring Security的自定义用户认证过程详解,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
spring security认证和授权
05-14
要实现的效果： 1、用户及用户的权限保存在数据库中。 2、url及所需的权限保存在数据库中，系统加载时从数据库中获取。 https://blog.csdn.net/u014572215/article/details/80309161
SpringSecurity之权限方案——用户认证
ybb_ymm的专栏
04-14 496
前面我们讲解了一些关于SpringSecurity的基础知识及基本原理。我们今天看一下如何通过SpringSecurity实现一个简单的web权限认证方案！
关于Spring Security用户认证和授权实践
最新发布
coder_jh的博客
06-29 350
以下是一篇关于Spring Security用户认证和授权实践的技术博客。如果你使用的是Gradle，可以在导入依赖后，运行构建工具来下载并引入Spring Security库。
Spring security用户认证（设置用户名密码）
花&败
07-17 1114
1、通过配置文件实现设置用户名密码 重新启动我们的服务： 2、通过配置类继承接口实现设置用户名密码 2.1、创建一个SecurityConfig配置类 2.2、代码 package com.kgf.security.config; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; imp...
SpringSecurity 自定义用户认证
你今天真好看呀
08-24 1230
测试接口：启动项目访问// 当前登录用户的用户名 String remoteUser = request . getRemoteUser();// 判断当前用户是否具备某一个指定的角色 boolean admin = request . isUserInRole("admin");// 登录用户的用户名 System . out . println("remoteUser = " + remoteUser);} }
SpringSecurity自定义用户认证逻辑（二）
ZhuPengWei_
12-23 3656
根据上一节的配置，默认在服务开启的时候会被要求自动的进行表单登陆。用到的用户名只能是一个固定的用户名user，它的密码是每次启动的时候服务器自动生成的。最常见的场景是我们的用户是从数据库中获取的。 处理用户信息获取逻辑/** * 自定义用户逻辑 * Created by ZhuPengWei on 2017/11/27. */ @Component public class MyUserDe
spring security 认证简介
Littlemotor
08-05 1652
spring security的核心功能：认证和授权，认证就是身份验证（你是谁？），授权就是访问控制（你可以做什么？），同时他还提供很多安全管理的周边功能。在Spring Security的架构设计中，认证（Authentication）和授权（Authorization）是分开的，本篇文章主要涉及认证相关的功能和原理介绍。...............
SpringSecurity认证流程
msq16021的博客
08-03 5646
SpringSecurity认证流程
spring security配置自定义认证
weixin_43359917的博客
10-18 5622
spring security配置自定义认证 spring security认证机制： 自定义认证类: 1.实现接口AuthenticationProvider，spring security内置的认证实现类DaoAuthenticationProvider。 2.重写authenticate(Authentication authentication)方法，实现认证逻辑。 spring se...
SpringSecurity认证流程(超级详细)
qq_34091529的博客
06-27 6175
最近开发项目的时候遇到了和SpringSecurity相关的一些问题，但是之前并没有去了解过SpringSecurity，导致改系统安全权限验证的时候就比较吃力了，目前项目开发大多都直接用脚手架直接开发，系统安全权限验证已经形成了，所以并不是自己写的，自己理解起来会更慢一些，所以这篇文章就是为了分析SpringSecurity的认证流程而写的。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

响彻天堂丶

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值