Spring security 用户验证 与授权

     配置文件             登录验证               用户授权(注册).

 @Insert("insert into users_role(userId,RoleId) values(#{userId},#{RoleId})")
void addRoleUser(@Param("userId") String userid, @Param("RoleId")String id);

  当插入语句 有多个参数时, 需要指定哪一个参数往数据中指定的 column 的名字去插   

配置文件

Spring  security 需要坐标

     <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-web</artifactId>
            <version>${spring.security.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-config</artifactId>
            <version>${spring.security.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-core</artifactId>
            <version>${spring.security.version}</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-taglibs</artifactId>
            <version>${spring.security.version}</version>
        </dependency>

 web,xml中加载 Spring security 需要的配置文件

 配置监听器 加载配置文件
  <listener>
    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
  </listener>
配置加载类路径的配置文件
  <context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>classpath*:applicationContext.xml,classpath*:spring-security.xml</param-value>
  </context-param>

Spring-security.xml配置文件

  <!-- 配置不拦截的资源 -->
    <security:http pattern="/login.jsp" security="none"/>
    <security:http pattern="/failer.jsp" security="none"/>
    <security:http pattern="/css/**" security="none"/>
    <security:http pattern="/img/**" security="none"/>
    <security:http pattern="/plugins/**" security="none"/>
    <!--
    	配置具体的规则
    	auto-config="true"	不用自己编写登录的页面，框架提供默认登录页面
    	use-expressions="false"	是否使用SPEL表达式（没学习过）
    -->
    <security:http auto-config="true" use-expressions="false">
         配置具体的拦截的规则 pattern="请求路径的规则" access="访问系统的人，必须有ROLE_USER的角色" 
        <security:intercept-url pattern="/**" access="ROLE_USER,ROLE_ADMIN"/>

        <!-- 定义跳转的具体的页面 -->
        <security:form-login
                login-page="/login.jsp"                登录用的页面
                login-processing-url="/login.do"       登录的url
                default-target-url="/index.jsp"        默认首页 
                authentication-failure-url="/failer.jsp"   失败跳转的页面
                authentication-success-forward-url="/pages/main.jsp"   成功跳转的页面
        />

        <!-- 关闭跨域请求 -->
        <security:csrf disabled="true"/>
        <security:logout invalidate-session="true" logout-url="/logout.do" logout-success-url="/login.jsp" />

    </security:http>

    开启使用 数据库中的用户名和密码 
    <security:authentication-manager>
        <security:authentication-provider user-service-ref="userService">    指定使用的业务层类名
             开启登录时  对密码进行解密
            <security:password-encoder ref="passwordEncoder"/>
        </security:authentication-provider>
    </security:authentication-manager>

    配置加密类  注册时往数据库中存放时加密
    <bean id="passwordEncoder" class="org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder"/>

登录验证  

UserService 类

@Service("userService")  对应配置文佳中的 bena类名
@Transactional
public class UserServiceImpl implements IUserService {

    @Autowired
    private IUserDao userDao;

    @Autowired
    private BCryptPasswordEncoder bCryptPasswordEncoder; 使用配置文件的 加密类bena

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        UserInfo userinfo = userDao.findByUsername(username);
        User user = new User(userinfo.getUsername(), userinfo.getPassword(), userinfo.getStatus() == 0 ? false : true, true, true, true, getAuthority(userinfo.getRoles()));
        return user;
    }

    public List<SimpleGrantedAuthority> getAuthority(List<Role> roles){
        List<SimpleGrantedAuthority> list = new ArrayList<>();
        for (Role role : roles) {
            list.add(new SimpleGrantedAuthority("ROLE_" + role.getRoleName()));
        }
        return list;
    }

    @Override
    public void save(UserInfo userInfo) {
        userInfo.setPassword(bCryptPasswordEncoder.encode(userInfo.getPassword()));
        userDao.save(userInfo);
    }

  1.loadUserByUsername  必须重写这个方法  且必须返回 UserDetails接口  类型的 domain对象   

  2.从数据库中根据前端的用户名username   查询出用户的 所有信息   

  3.User这个类是Spring security框架的类  实现了UserDetails接口    User的构造方法有多个 ,

      传入从数据库查询出来的信息 与   前端去比较   参数 用户是否开启   是否没有过期  是否没有锁定... 

     最后一个参数还要 在配置文件中配置了 用户需要ROLE_USER,ROLE_ADMIN 的角色  参数必须是一个泛型为                            SimpleGrantedAuthority   类型的列表 ( 一个用户可以有多个角色)     所以再次用一个方法组装列表

 4. getAuthority 参数为user 的角色 列表  遍历这个列表 重新封装为一个 SimpleGrantedAuthority类型的列表

用户授权(注册).

  在配置文件中配置了 可以用来 加密的bena对象bCryptPasswordEncoder 在 存入数据库前 先将 密码加密再封在