使用Spring Security进行权限验证

使用Spring Security进行权限验证 由Cliff发表在天码营

Spring Security，这是一种基于Spring AOP和Servlet过滤器的安全框架。它提供全面的安全性解决方案，同时在Web请求级和方法调用级处理身份确认和授权。在Spring Framework基础上，Spring Security充分利用了依赖注入（DI，Dependency Injection）和面向切面技术。今天我们就来学习一下如何利用Spring security方便的进行权限验证。

添加依赖

首先还是先定义我们所需要的依赖：

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-thymeleaf</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-data-jpa</artifactId>
    </dependency>
<dependency>
        <groupId>org.hsqldb</groupId>
        <artifactId>hsqldb</artifactId>
        <scope>runtime</scope>
    </dependency>
</dependencies>

在本次学习中，我们仍然使用Spring Boot作为框架，同时引入我们的核心学习库：spring-boot-starter-security。模板引擎仍然选用我们熟悉的thymeleaf。最后使用了Spring Data Jpa+ hsqldb作为数据库。

系统设计

本次学习，我们将实现一个简单的有权限验证的系统，在权限验证上，我们还可以加上一个简单的用户角色判断的验证，这样，我们就有以下几个页面：

• 首页 所有人可访问
• 登录页 所有人可访问
• 普通页 登录后的用户都可访问
• 管理页 管理员可访问
• 无权限提醒页 当一个用户访问了其没有权限的页面，需要有一个页面来对其进行提醒

页面确定后，我们来看看用户表需要哪些字段。为了简化处理，我们的用户表只需要用户名、密码以及一个角色字段来确定其身份即可。

这样，我们的简单系统设计就出来了，为了加深印象，我们先不管权限验证相关代码，我们先来实现整个简单的系统吧。

系统实现

数据访问层

首先我们需要一个数据层以及业务层为我们的业务逻辑提供支持，由于我们没有业务逻辑，业务逻辑层就省去了，只需要利用