【SpringSecurity系列1】基于SpringSecurity实现前后端分离无状态Rest API的权限控制
源码传送门:
https://github.com/ningzuoxin/zxning-springsecurity-demos/tree/master/T01-springsecurity-stateless
一、前言
以前我们在使用 SpringSecurity 来做 Webapp 应用的权限控制时,由于是非前后端分离架构。我们需要使用 SpringSecurity 提供的默认登录表单,或者使用自定义登录表单来实现身份认证。那么,在前后端分离架构下,我们该如何实现使用 Restful 风格的登录接口做身份认证,从而实现整个应用接口的权限控制呢?我们先看实现步骤,后续再来分析原理。
二、实现步骤
1、引入依赖
<parent>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-parent</artifactId>
<version>2.7.0</version>
</parent>
<dependencies>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
<groupId>cn.hutool</groupId>
<artifactId>hutool-all</artifactId>
<version>5.8.1</version>
</dependency>
</dependencies>
2、改写 Get 方法的 /login 请求
由于 SpringSecurity 默认的 Get 方法 /login 请求,会重定向到默认的登录表单,具体流程我们后续分析。这显然是不满足前后端分离架构的需求,所以我们需要改写,具体代码如下:
@GetMapping(value = "/login")
public Result login() {
return Result.data(-1, "PLEASE LOGIN", "NO LOGIN");
}
Result 类是定义的一个通用响应对象,具体代码可查看附上的源码链接。
3、创建认证信息存储器 AuthenticationRepository
在实际生产环境中,我们应该把认证信息存储在缓存或者数据库中,此处只是演示,就放在内存中了。具体代码如下:
@Repository
public class AuthenticationRepository {
private static ConcurrentHashMap<String, Authentication> authentications = new ConcurrentHashMap<>();
public void add(String key, Authentication authentication) {
authentications.put(key, authentication);
}
public Authentication get(String key) {
return authentications.get(key);
}
public void delete(String key) {
if (authentications.containsKey(key)) {
authentications.remove(key);
}
}
}
4、创建认证成功处理器 TokenAuthenticationSuccessHandler 和 认证失败处理器 TokenAuthenticationFailureHandler
SpringSecurity 为我们提供了认证成功接口 AuthenticationSuccessHandler 和 认证失败处理接口 AuthenticationFailureHandler,我们只需要实现这两个接口,然后实现我们需要的业务逻辑即可,具体代码如下:
@Component
public class TokenAuthenticationSuccessHandler implements AuthenticationSuccessHandler {
@Autowired
private AuthenticationRepository authenticationRepository;
@Override
public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
String token = IdUtil.simpleUUID();
authenticationRepository.add(token, authentication);
Result<String> result = Result.data(200, token, "LOGIN SUCCESS");
HttpServletResponseUtils.print(response, result);
}
}
@Component
public class TokenAuthenticationFailureHandler implements AuthenticationFailureHandler {
@Override
public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException {
Result<String> result = Result.data(-1, exception.getMessage(), "LOGIN FAILED");
HttpServletResponseUtils.print(response, result);
}
}
HttpServletResponseUtils 是封装的一个通过 HttpServletResponse 向前端响应 JSON 数据格式的工具类,具体代码可查看附上的源码链接。
5、创建退出成功处理器 TokenLogoutSuccessHandler
@Component
public class TokenLogoutSuccessHandler implements LogoutSuccessHandler {
@Autowired
private AuthenticationRepository authenticationRepository;
@Override
public void onLogoutSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException {
String token = request.getHeader("token");
if (StrUtil.isNotEmpty(token)) {
authenticationRepository.delete(token);
}
Result<String> result = Result.data(200, "LOGOUT SUCCESS", "OK");
HttpServletResponseUtils.print(response, result);
}
}
6、创建无访问权限处理器 TokenAccessDeniedHandler
public class TokenAccessDeniedHandler implements AccessDeniedHandler {
@Override
public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException, ServletException {
Result<String> result = Result.data(403, accessDeniedException.getMessage(), "ACCESS DENIED");
HttpServletResponseUtils.print(response, result);
}
}
7、配置 WebSecurityConfig,这是重点!!!
创建 WebSecurityConfig 类,继承 WebSecurityConfigurerAdapter (最新的 SpringSecurity 版本,该类将被废弃,官方建议使用 @Bean 的配置方式),重写 configure(HttpSecurity http) 方法,整个SpringSecurity 的核心配置,都是基于 HttpSecurity 来实现的,具体配置如下:
@Bean
public UserDetailsService userDetailsService() {
// 权限配置
List<GrantedAuthority> authorities = new ArrayList<>();
authorities.add(new SimpleGrantedAuthority("index"));
authorities.add(new SimpleGrantedAuthority("hasAuthority"));
authorities.add(new SimpleGrantedAuthority("ROLE_hasRole"));
// 认证信息
UserDetails userDetails = User.builder().username("admin").password(passwordEncoder().encode("123456")).authorities(authorities).build();
return new InMemoryUserDetailsManager(userDetails);
}
@Override
protected void configure(HttpSecurity http) throws Exception {
// 放行 /login 请求,其他请求必须经过认证
http.authorizeRequests().antMatchers("/login").permitAll().anyRequest().authenticated()
// 配置退出成功处理器
.and().logout().logoutSuccessHandler(tokenLogoutSuccessHandler)
// 配置无访问权限处理器
.and().exceptionHandling().accessDeniedHandler(new TokenAccessDeniedHandler())
// 指定登录请求url
.and().formLogin().loginPage("/login")
// 配置认证成功处理器
.successHandler(tokenAuthenticationSuccessHandler)
// 配置认证失败处理器
.failureHandler(tokenAuthenticationFailureHandler)
// 将 session 管理策略设置为 STATELESS (无状态)
.and().sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
// 禁用防止 csrf
.and().csrf().disable()
// 在 UsernamePasswordAuthenticationFilter 过滤器之前,添加自定义的 token 认证过滤器
.addFilterBefore(tokenAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);
}
8、创建一些测试用的 API 接口
@RestController
public class IndexController {
@RequestMapping(value = "/index")
@PreAuthorize("hasAuthority('index')")
public String index() {
return "index";
}
@RequestMapping(value = "/hasAuthority")
@PreAuthorize("hasAuthority('hasAuthority')")
public String hasAuthority() {
return "hasAuthority";
}
@RequestMapping(value = "/hasRole")
@PreAuthorize("hasRole('hasRole')")
public String hasRole() {
return "hasRole";
}
@RequestMapping(value = "/home")
@PreAuthorize("hasRole('home')")
public String home() {
return "home";
}
}
三、测试
1、未登录访问受保护 API
// 请求地址 GET请求
http://localhost:8080/index
// curl
curl --location --request GET 'http://localhost:8080/index'
// 响应结果
{
"code": -1,
"msg": "NO LOGIN",
"time": 1654131753192,
"data": "PLEASE LOGIN"
}
2、登录 API
// 请求地址 POST请求
http://localhost:8080/login?username=admin&password=123456
// curl
curl --location --request POST 'http://localhost:8080/login?username=admin&password=123456'
// 响应结果
{
"code": 200,
"msg": "LOGIN SUCCESS",
"time": 1654131902130,
"data": "612c29a2dd824191b6afe07a38285e81"
}
3、携带 token 访问受保护 API
// 请求地址 GET请求 请求头中添加认证 token
http://localhost:8080/index
// curl
curl --location --request GET 'http://localhost:8080/index' --header 'token: 612c29a2dd824191b6afe07a38285e81'
// 响应结果
index
4、携带 token 访问未授权 API
// 请求地址 GET请求 请求头中添加认证 token
http://localhost:8080/home
// curl
curl --location --request GET 'http://localhost:8080/home' --header 'token: 612c29a2dd824191b6afe07a38285e81'
// 响应结果
{
"code": 403,
"msg": "ACCESS DENIED",
"time": 1654131989330,
"data": "不允许访问"
}
5、退出 API
// 请求地址 GET请求 请求头中添加认证 token
http://localhost:8080/logout
// curl
curl --location --request GET 'http://localhost:8080/logout' --header 'token: 612c29a2dd824191b6afe07a38285e81'
// 响应结果
{
"code": 200,
"msg": "OK",
"time": 1654132037160,
"data": "LOGOUT SUCCESS"
}
四、总结
经过简单的改造之后,基本能满足前后端分离无状态 API 权限控制的需求。在应用于生产环境前,有两点需要进一步改造:
1、将身份认证和权限获取,改为从数据库中获取。
2、将通过认证的身份信息存储在缓存或数据库中。
在下一篇,我们将进一步分析实现原理,大家多多关注哦~
源码传送门:
https://github.com/ningzuoxin/zxning-springsecurity-demos/tree/master/01-springsecurity-stateless
【打个广告】推荐下个人的基于 SpringCloud 开源项目,供大家学习参考,欢迎大家留言进群交流
Gitee:https://gitee.com/ningzxspace/exam-ning-springcloud-v1
Github:https://github.com/ningzuoxin/exam-ning-springcloud-v1