SpringSecurity安全框架

文章目录

---

前言

---

一、什么是认证和授权

1.1 认证

系统为什么要认证?认证是为了保护系统的隐私数据与资源，用户的身份合法,方可访问该系统的资源。认证︰用户认证就是判断一个用户的身份是否合法的过程，用户去访问系统资源时系统要求验证用户的身份信息，身份合法 方可继续访问，不合法则拒绝访问。常见的用户身份认证方式有:==用户名密码登录，二维码登录，手机短信登录，指纹认证，人脸识别等方式。

用户认证通过后，为了避免用户的每次操作都进行认证可将用户的信息保证在==会话中==。会话就是系统为了保持当前用户的登录状态所提供的机制，常见的有==基于session方式、基于token方式==等。

基于session的认证

传统项目[前端和后端代码都在一个工程下。]:

它的交互流程是，用户认证成功后，在服务端生成用户相关的数据【user对象】保存在session(当前会话setAttribute(key,user)中，发给客户端的sesssion_id存放到 cookie中,这样用户客户端请求时带上 session_id 就可以验证服务器端是否存在 session 数据，以此完成用户的合法校验，当用户退出系统或session过期销毁时,客户端的session_id 也就无效了。---有状态的方式。

基于token的认证

token令牌模式---JWT生成

它的交互流程是,用户认证成功后,服务端生成一个token【唯一字符串】发给客户端,客户端可以放到 cookie 或localStorage等存储中，每次请求时带上token,服务端收到token通过验证后即可确认用户身份。---在服务端没有存储token的内容。只在客户端存储

基于session的认证方式由servlet规范定制，服务端要存储session信息需要占用内存资源，客户端需要支持cookie;基于token的方式则一般不需要服务端存储token，并且不限制客户端的存储方式。如今移动互联网时代更多类型的客户端[pC,android,IOS,]需要接入系统，系统多是采用前后端分离的架构进行实现，所以基于token的方式更适合。

 1.2 授权

还拿微信来举例子，微信登录成功后用户即可使用微信的功能，比如，发红包、发朋友圈、添加好友等，没有绑定银行卡的用户是无法发送红包的，绑定银行卡的用户才可以发红包，发红包功能、发朋友圈功能都是微信的资源即功能资源，用户拥有发红包功能的权限才可以正常使用发送红包功能，拥有发朋友圈功能的权限才可以便用发朋友圈功能，这个根据用户的权限来控制用户使用资源的过程就是授权。

认证是为了保证用户身份的合法性，授权则是为了更细粒度的对隐私数据进行划分，==授权是在认证通过后发生的==，控制不同的用户能够访问不同的资源。授权:授权是用户认证通过根据用户的权限来控制用户访问资源的过程,拥有资源的访问权限则正常访问，没有权限则拒绝访问。

 

二、权限设置使用 

    <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>

 配置类

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()//基于内存
                .withUser("admin") //账号
                .password(passwordEncoder.encode("123456")) //密码 注意该密码需要进行加密
                .roles("ADMIN") //该用户具有的角色
                .authorities("user:list","user.delete","user:insert","user:update") //设置用户具有的权限
                .and()
                .withUser("test")
                .password(passwordEncoder.encode("123456"))
                .authorities("user:role")
                .roles("TEST");
    }


    @Override
    protected void configure(HttpSecurity http) throws Exception {
        //设置表单的规则
         http.formLogin()
                 .successForwardUrl("/welcome") //设置登录成功后的路径。该路径是接口路径，那么提交方式必须为post
                 .failureForwardUrl("/fail")
                 .permitAll();

         //设置路径与权限的绑定
         http.authorizeRequests()
                 .antMatchers("/list").hasAuthority("user:list")
                 .antMatchers("/insert").hasAuthority("user:insert")
                 .antMatchers("/delete").hasAuthority("user:delete")
                 .antMatchers("/update").hasAuthority("user:update")
                 .antMatchers("/role").hasRole("TEST");

         //设置其他请求必须通过认证
         http.authorizeRequests().anyRequest().authenticated();

    }
}

控制层

@RestController
public class UserController {
    @PostMapping("/welcome")
    public String welcome(){
        return "欢迎来到主页";
    }

    @PostMapping("/fail")
    public String fail(){
        return "登录失败";
    }


    @GetMapping("/list")
    public String list(){

        return "user:list";
    }
    @GetMapping("/insert")
    public String insert(){

        return "user:insert";
    }

    @GetMapping("/delete")
    public String delete(){

        return "user:delete";
    }
    @GetMapping("/update")
    public String update(){

        return "user:update";
    }

    @GetMapping("/role")
    public String role(){

        return "user:role";
    }


}

 这样就实现了对应用户对于权限的要求

---

总结