学习笔记：spiring security 认证 + 权限校验

已于 2022-10-13 10:53:02 修改
阅读量313 收藏
点赞数
文章标签： 学习 前端 java
于 2022-09-05 17:55:50 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_42878634/article/details/126708257
版权

Spring security 介绍

省略，网上很多写的好的。

Spring Security 认证

代码使用的ruoyi的开源框架进行分析的，spring security配置可参考ruoyi-vue版的。

重点过滤器和类介绍

  1. 接口 UserDetailsService，需要实现里面的loadUserByUsername方法，用于通过用户名来查找数据库数据，后面认证管理器，会对其进行比对验证。
  2. 接口 UserDetails，需要实现一个该接口的一系列get方法，该类是接口UserDetailsService的返回值。
  3. 过滤器 UsernamePasswordAuthenticationFilter，继承了并实现了AbstractAuthenticationProcessingFilter的抽象方法attemptAuthentication，此方法作用：判断是否post提交，获取用户名密码，设置其他参数Details，交由认证管理器进行认证。该过滤器只有在SecurityConfig配置中配置了表单提交formLogin()才会进入。
  4. 认证者管理器 ProviderManager实现了认证管理器接口AuthenticationManager的authenticate方法，主要作用：找到对应的AuthenticationProvider，并调用该AuthenticationProvider的authenticate方法进行认证。
  5. 认证提供者 AbstractUserDetailsAuthenticationProvider，顾名思义，通过UserDetails来进行认证的，所以这个和UserDetailsService是有关系的。当ProviderManager找到此处理器后，会调用authenticate方法进行认证，该方法作用：通过数据库找到用户信息，通过配置的加密/解密器来校验密码。
  6. 认证提供者 DaoAuthenticationProvider实现了AbstractUserDetailsAuthenticationProvider的additionalAuthenticationChecks和retrieveUser方法，前者是用来处理校验密码的，后者是通过实现的UserDetailsService来找到用户信息的。在校验没有问题后，最后会调用createSuccessAuthentication方法，完成认证（中途如果没有抛出异常情况，就是认证成功）

认证流程

  1. 处理login接口：第一种在securityconfig中配置formlogin，表明表单提交，会经过UsernamePasswordAuthenticationFilter过滤器进行校验后，进入ProviderManager认证者管理器；第二种，没有配置formlogin，在控制层通过注入AuthenticationManager，使用手动认证，直接进入ProviderManager认证者管理器。
    手动认证

  2. ProviderManager：进入后找到相应的提供者来进行认证。可自定义提供者Provider。
    在这里插入图片描述

  3. AbstractUserDetailsAuthenticationProvider：用于密码和身份认证。第一次使用缓存，如果认证失败，则重试一次，不使用缓存。
    第一次
    在这里插入图片描述
    重试
    在这里插入图片描述

  4. DaoAuthenticationProvider：实现认证方法。成功后调用createSuccessAuthentication。
    在这里插入图片描述

  5. 如果走的表单形式，调用了UsernamePasswordAuthenticationFilter，成功后会调用父类的AbstractAuthenticationProcessingFilter的successfulAuthentication方法，失败会调用unsuccessfulAuthentication方法。
    在这里插入图片描述

后续访问使用jwt的token，重写继承spring的OncePerRequestFilter过滤器，从认证成功后存入redis的信息中获取到用户token，解析获取用户信息，封装成UsernamePasswordAuthenticationToken对象，提交给管理器，进行认证。每次访问都是要经过认证管理器进行认证的。

权限认证

ruoyi使用的一套很方便，自定义一个表达式，用于判断是否有权限访问。

package com.iwd.web.core.service;

import java.util.Set;
import org.springframework.stereotype.Service;
import org.springframework.util.CollectionUtils;
import com.iwd.common.core.domain.entity.SysRole;
import com.iwd.common.core.domain.model.LoginUser;
import com.iwd.common.utils.SecurityUtils;
import com.iwd.common.utils.StringUtils;

/**
 * ruoyi首创 自定义权限实现，ss取自SpringSecurity首字母
 * 
 * @author iwd
 */
@Service("ss")
public class PermissionService
{
    /** 所有权限标识 */
    private static final String ALL_PERMISSION = "*:*:*";

    /** 管理员角色权限标识 */
    private static final String SUPER_ADMIN = "admin";

    private static final String ROLE_DELIMETER = ",";

    private static final String PERMISSION_DELIMETER = ",";

    /**
     * 验证用户是否具备某权限
     * 
     * @param permission 权限字符串
     * @return 用户是否具备某权限
     */
    public boolean hasPermi(String permission)
    {
        if (StringUtils.isEmpty(permission))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getPermissions()))
        {
            return false;
        }
        return hasPermissions(loginUser.getPermissions(), permission);
    }

    /**
     * 验证用户是否不具备某权限，与 hasPermi逻辑相反
     *
     * @param permission 权限字符串
     * @return 用户是否不具备某权限
     */
    public boolean lacksPermi(String permission)
    {
        return hasPermi(permission) != true;
    }

    /**
     * 验证用户是否具有以下任意一个权限
     *
     * @param permissions 以 PERMISSION_NAMES_DELIMETER 为分隔符的权限列表
     * @return 用户是否具有以下任意一个权限
     */
    public boolean hasAnyPermi(String permissions)
    {
        if (StringUtils.isEmpty(permissions))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getPermissions()))
        {
            return false;
        }
        Set<String> authorities = loginUser.getPermissions();
        for (String permission : permissions.split(PERMISSION_DELIMETER))
        {
            if (permission != null && hasPermissions(authorities, permission))
            {
                return true;
            }
        }
        return false;
    }

    /**
     * 判断用户是否拥有某个角色
     * 
     * @param role 角色字符串
     * @return 用户是否具备某角色
     */
    public boolean hasRole(String role)
    {
        if (StringUtils.isEmpty(role))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getUser().getRoles()))
        {
            return false;
        }
        for (SysRole sysRole : loginUser.getUser().getRoles())
        {
            String roleKey = sysRole.getRoleKey();
            if (SUPER_ADMIN.equals(roleKey) || roleKey.equals(StringUtils.trim(role)))
            {
                return true;
            }
        }
        return false;
    }

    /**
     * 验证用户是否不具备某角色，与 isRole逻辑相反。
     *
     * @param role 角色名称
     * @return 用户是否不具备某角色
     */
    public boolean lacksRole(String role)
    {
        return hasRole(role) != true;
    }

    /**
     * 验证用户是否具有以下任意一个角色
     *
     * @param roles 以 ROLE_NAMES_DELIMETER 为分隔符的角色列表
     * @return 用户是否具有以下任意一个角色
     */
    public boolean hasAnyRoles(String roles)
    {
        if (StringUtils.isEmpty(roles))
        {
            return false;
        }
        LoginUser loginUser = SecurityUtils.getLoginUser();
        if (StringUtils.isNull(loginUser) || CollectionUtils.isEmpty(loginUser.getUser().getRoles()))
        {
            return false;
        }
        for (String role : roles.split(ROLE_DELIMETER))
        {
            if (hasRole(role))
            {
                return true;
            }
        }
        return false;
    }

    /**
     * 判断是否包含权限
     * 
     * @param permissions 权限列表
     * @param permission 权限字符串
     * @return 用户是否具备某权限
     */
    private boolean hasPermissions(Set<String> permissions, String permission)
    {
        return permissions.contains(ALL_PERMISSION) || permissions.contains(StringUtils.trim(permission));
    }
}

在接口方法上，加入security的注解，只要注解中的方法返回true，则表明有权限，否则则没有权限。ruoyi也是根据表达式返回的值来实现的。
在这里插入图片描述

高胤川
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
SpringSecurity权限认证(一)
Bep_的博客
10-26 536
SpringSecurity权限认证(一) 导入依赖 <!--security 依赖--> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> 设置数据库配置 spring.datasource.driver-c
SpringBootSecurity与Shiro
Dary_whut的博客
05-03 706
SpringSecurity环境搭建 1. 安全简介 在 Web 开发中，安全一直是非常重要的一个方面。安全虽然属于应用的非功能性需求，但是应该在应用开发的初期就考虑进来。如果在应用开发的后期才考虑安全的问题，就可能陷入一个两难的境地：一方面，应用存在严重的安全漏洞，无法满足用户的要求，并可能造成用户的隐私数据被攻击者窃取；另一方面，应用的基本架构已经确定，要修复安全漏洞，可能需要对系统的架构做出比较重大的调整，因而需要更多的开发时间，影响应用的发布进程。因此，从应用开发的第一天就应该把安全相关的因素考
SpringSecurity权限认证(四)
Bep_的博客
10-27 839
SpringSecurity权限认证(四) 使用分布式时，就需要JWT与SpringSecurity一起进行配合使用。 Jwt工具类 package com.bep.server.config.jwt; import io.jsonwebtoken.*; import org.springframework.beans.factory.annotation.Value; import org.springframework.security.core.userdetails.UserDetails; i
SpringBoot实战：Spring Boot接入Security权限认证服务
最新发布
架构师小吴的博客
07-23 869
引言 Spring Security 是一个功能强大且高度可定制的身份验证和访问控制的框架，提供了完善的认证机制和方法级的授权功能，是一个非常优秀的权限管理框架。其核心是一组过滤器链，不同的功能经由不同的过滤器。本文将通过一个案例将 Spring Security 整合到 SpringBoot中，要实现的功能就是在认证服务器上登录，然后获取Token，再访问资源服务器中的资源。 一、基本介绍 登录验证： 通过 JWT 为每个用户生成一个唯一且有期限的 Token，用户
Spring Security介绍（四）权限校验
w_t_y_y的博客
02-29 1106
（1）自定义拦截器或者AOP校验：对需要鉴权的接口做拦截，用户的权限从SecurityContextHolder中获取，接口访问权限可以通过自定义Annotation注入，具体参照。用户认证+授权后，就可以进行接口权限控制。思路是拿用户（已授予的）权限与接口所需权限进行比较，不包含则视为无权。和shiro类似，sercurity也提供了注解式权限校验。
Spring Security登录流程权限校验
jiang_yi_nan的博客
09-03 879
前端将用户登录表单传入后端 后端接收到表单数据，有验证码先校验验证码 然后将用户的账号密码封装为UsernamePasswordAuthenticationToken对象 接着调用AuthenticationManager的authenticate方法 由于这是一个接口，所以实际调用的是它的实现类ProviderManager下的authenticate方法 调用身份认证的方法后，本质上是调用实现类AbstractUserDetailsAuthenticationProv..
Spring Security基于jwt实现权限校验
Instanceztt的博客
12-01 1452
在中我实现了基于jwt实现的认证,本文在此基础上继续实现权限认证二 代码实现用户认证成功生成jwt时将权限信息加载到jwt中..................................................................................................定义和用于认证成功从jwt中解析jwt中的权限信息.....................................jwt校验成功后解析jwt并加载到安全上下文中.........
spiring异步方法@Async和消息队列rocketMQ使用哪个比较好?
01-07
背景: 因为项目是分布式项目,已经集成过rocketmq.但是没有单独将消息服务提取出来.而是每个model之间相互进行消息发布与消费. 这样解耦性比较差.且仍需要model与model之间进行服务的调用.....所以考虑将消息服务提取...
Mongodb 完结笔记
木子study的博客
05-30 521
Mongodb 1、 MongoDB引言 1.1 基本概念 MongoDB 是一个基于分布式文件存储的数据库。由 C++ 语言编写。旨在为 WEB 应用提供可扩展的高性能数据存储解决方案。Nosql技术门类 redis 内存型 mongodb 文档型 MongoDB 是一个介于关系数据库和非关系数据库之间的产品，是非关系数据库当中功能最丰富，最像关系数据库的。 MongoDB 将数据存储为一个文档，数据结构由键值(key=>value)对组成。MongoDB 文档类似于 JSON 对象。字段值可以
hibernate3.5
11-21
hibernate spring struts2
基于spring cloud的security权限认证（超详细）
Liu_Shou_Yang的博客
03-03 2481
在网上找了很多基于spring cloud的security权限认证，但是大概都是网关内嵌security、security OAuth2的方式。这里给大家推荐另一种方式。
security权限认证demo
qq_42355476的博客
07-30 388
目录结构 部分POM文件如下： <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </depen...
SpringSecurity之权限方案——用户认证
ybb_ymm的专栏
04-14 574
前面我们讲解了一些关于SpringSecurity的基础知识及基本原理。我们今天看一下如何通过SpringSecurity实现一个简单的web权限认证方案！
SpringSecurity_授权认证
qq_45907893的博客
05-21 175
SpringSecurity
springboot3整合SpringSecurity实现登录校验与权限认证（万字超详细讲解）
2301_78646673的博客
12-11 1万+
用户提交登录请求Spring Security 将请求交给 UsernamePasswordAuthenticationFilter 过滤器处理。UsernamePasswordAuthenticationFilter 获取请求中的用户名和密码，并生成一个 AuthenticationToken 对象，将其交给 AuthenticationManager 进行认证。
Spring Security（新版本）实现权限认证与授权
热门推荐
weixin_46073538的博客
02-02 3万+
Spring 是非常流行和成功的 Java 应用开发框架，Spring Security 正是 Spring 家族中的成员。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。正如你可能知道的关于安全方面的两个核心功能是认证和授权，一般来说，Web 应用的安全性包括**用户认证（Authentication）和用户授权（Authorization）**两个部分，这两点也是 SpringSecurity 重要核心功能。
spring boot项目整合spring security权限认证
weixin_49107940的博客
07-31 949
2、项目配置文件，连接数据库 3、一个简单接口 4、测试接口能跑 2、启动，再次访问需要登录 这里的admin无法登录 4、访问测试 只拦截/r/**路径下的请求，所以login-success没问题 访问/r/r1需要登录 输入配置文件设置的用户名密码登录 再次访问，不需要登录 5、测试退出 配置文件配置了退出的路径 用户认证通过去访问系统资源时spring security进行授权控制，判断用户是否有该资源的访问权限，如果有则继续访问，如果没有则拒绝访问。张三的权限是p1 李四的
Spring Security实现用户身份验证及权限管理
个人学习笔记库，一篇一篇记录成长的足迹
03-26 6035
Spring Security是Spring生态的一个成员，提供了一套Web应用安全性的完整解决方案。Spring Security 旨在以一种自包含的方式进行操作，因此你不需要在 Java 运行时环境中放置任何特殊的配置文件。这种设计使部署极为方便，因为可以将目标工件（无论是 JAR还是WAR）从一个系统复制到另一个系统，并且它可以立即工作。spring Security，这是一种基于 Spring AOP 和 Servlet 过滤器的安全框架。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值