SpringSecurity | SpringSecurity基本使用以及常用注解

最新推荐文章于 2024-07-22 10:26:25 发布
最新推荐文章于 2024-07-22 10:26:25 发布
阅读量949 收藏 6
点赞数 1
文章标签： spring spring boot spring security
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_40040107/article/details/114416075
版权

web权限配置的三种方式

通过配置文件

spring.security.user.name=root
spring.security.user.password=root

通过配置类的方式

package cn.knightzz.security.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfiguration;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

/**
 * @author knightzz
 * @date 2021/3/5 10:59
 */
@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();
        String encodePassword = passwordEncoder.encode("root");
        auth.inMemoryAuthentication().withUser("root")
                .password(encodePassword).roles("admin");
    }
    
    @Bean
    PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }
}

自定义实现类

  • 步骤

    第一步 : 创建配置 设置使用哪个 userDaoService实现类
第二步 : 编写实现类 返回user对象(包括用户密码以及操作权限)

  • 代码

    第一步 : 创建相关配置

    package cn.knightzz.security.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

/**
 * @author knightzz
 * @date 2021/3/5 11:51
 */
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    UserDetailsService userDetailsService;

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

}

    第二步 : 编写 Service 类

    package cn.knightzz.security.service;

import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.stereotype.Service;

import java.util.List;

/**
 * @author knightzz
 * @date 2021/3/5 11:57
 */
@Service("userDetailsService")
public class MyUserDetailsService implements UserDetailsService {

    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {

        // 模拟生成权限列表
        List<GrantedAuthority> auths = AuthorityUtils.
                commaSeparatedStringToAuthorityList("role");
        // 账号 , 密码, 权限集合
        return new User("root" ,new BCryptPasswordEncoder().encode("root"),auths);
    }
}

Controller认证

  • 添加相关配置

    package cn.knightzz.security.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

/**
 * @author knightzz
 * @date 2021/3/5 11:51
 */
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    UserDetailsService userDetailsService;

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Bean
    PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.formLogin() // 自定义自己编写的登陆页面
                .loginPage("/login.html") // 登陆页面设置
                .loginProcessingUrl("/user/login") // 登陆访问路径
                .defaultSuccessUrl("/test/index").permitAll() // 登陆成功以后的跳转路径
                .and().authorizeRequests()
                .antMatchers("/", "/test/hello","/user/login").permitAll() // 设置哪些路径不需要认证可以直接访问
                .anyRequest().authenticated()
                .and().csrf().disable(); // 关闭csrf防护
    }
}

  • 编写登陆页面

    登陆页面是在 static 目录下

    <!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>登陆</title>
</head>
<body>

<!--
    用户名和密码 必须设置成 username 和 password 否则 SpringSecurity无法识别
-->
<form action="/user/login" method="post">
    用户名 : <input name="username" type="text">
    <br />
    密码 : <input name="password" type="text">
    <br/>
    <input type="submit" value="login">
</form>

</body>
</html>

  • 测试

    http://localhost:8111/test/index

基于权限或者角色进行访问控制

hasAuthority

  • 第一步 在配置类中设置当前访问地址有哪些权限

    // 当前登录用户 必须有admin 权限才可以访问
.antMatchers("/test/admin").hasAnyAuthority("admin")

  • 第二步 在 UserDetailsService 设置相应权限

     // 模拟生成权限列表
List<GrantedAuthority> auths = AuthorityUtils.
                commaSeparatedStringToAuthorityList("admin");
// 账号 , 密码, 权限集合
        return new User("root" ,new BCryptPasswordEncoder().encode("root"),auths);

  • 测试

    http://localhost:8111/test/admin

# 如果没有权限的话 结果 会报错 : 
Whitelabel Error Page
There was an unexpected error (type=Forbidden, status=403).

hasAnyAuthority

// 作用 
如果当前用户有提供的权限列表中的任何一个 返回 true

  • 配置

    // 当前用户必须要有权限列表中的任何一个都可以访问该路径
                .antMatchers("/test/role").hasAnyAuthority("admin","superAdmin","role","user")

  • 第二步 在 UserDetailsService 设置相应权限

     // 模拟生成权限列表 用户角色使用 , 分割 
        List<GrantedAuthority> auths = AuthorityUtils.
             commaSeparatedStringToAuthorityList("admin,user,superAdmin");
        // 账号 , 密码, 权限集合
        return new User("root" ,new BCryptPasswordEncoder().encode("root"),auths);

  • 测试

    http://localhost:8111/test/role

hasRole

  • 配置

    // 需要有 ROLE_user 角色才能访问
.antMatchers("/test/role").hasRole("user")

  • 第二步 在 UserDetailsService 设置相应权限

    这里需要注意的是 角色列表 是 ROLE_ 开头的 否则会报错的

            
// 模拟生成权限列表
        List<GrantedAuthority> auths = AuthorityUtils.
                commaSeparatedStringToAuthorityList("ROLE_user");

  • 测试

    http://localhost:8111/test/role

hasAnyRole

使用方式 与 hasAnyAuthority 类似

自定义403 访问页面

  • 添加配置

            // 配置没有权限访问跳转到自定义页面
        http.exceptionHandling().accessDeniedPage("/403.html");

  • 创建403页面

    <!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>403</title>
</head>
<body>

<h1>403 ! 没有访问权限</h1>
</body>
</html>

  • 测试

    http://localhost:8111/test/role

认证注解使用

@Secured

  • 作用

    用户必须 具有某个角色才能访问方法
    
1. 使用前必须开启注解功能: 在启动类(或者配置类)上添加开启注解

@EnableGlobalMethodSecurity(securedEnabled = true)
public class SpringSecurityWebApplication {}


2. 需要注意的是 匹配字符串需要添加前缀 "ROLE"
    
List<GrantedAuthority> auths = AuthorityUtils.
    commaSeparatedStringToAuthorityList("ROLE_admin,admin");

  • 第二步 : 在 Controller 的方法中添加注解

        @Secured({"ROLE_admin", "ROLE_manager"})
    @GetMapping("update")
    public String update(){
        return "hello update";
    }

  • 测试

    http://localhost:8111/test/update

@PreAuthorize

  • 作用

    注解适合进入方法前的验证

1. 需要开启注解
    
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class SpringSecurityWebApplication {}

List<GrantedAuthority> auths = AuthorityUtils.
    commaSeparatedStringToAuthorityList("ROLE_admin,admin");

  • 第二步 : 在 Controller 的方法中添加注解

        @PreAuthorize("hasAnyAuthority('admin')")
    @GetMapping("auth")
    public String preAuthorize(){
        return "hello PreAuthorize";
    }

  • 测试

    http://localhost:8111/test/auth

@PostAuthorize

  • 作用

    1. 注解是在 方法执行后 才会验证权限的 
 
2. 需要开启注解
    
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class SpringSecurityWebApplication {}

List<GrantedAuthority> auths = AuthorityUtils.
    commaSeparatedStringToAuthorityList("ROLE_admin,admin");

  • 第二步 : 在 Controller 的方法中添加注解

        @PostAuthorize("hasAnyAuthority('aaaa')")
    @GetMapping("post_auth")
    public String postAuthorize(){
        System.out.println("postAuthorize");
        return "hello postAuthorize";
    }

  • 测试

    http://localhost:8111/test/post_auth


// 测试结果 

403 ! 没有访问权限
    
// 控制台会打印 hello postAuthorize

@PostFilter

  • 作用

    1. 权限验证之后对返回数据进行过滤 
    
    
2. filterObject 对应返回值List的实体类 User 
   作用是 过滤掉 password 不等于 'admin01' 的数据 留下密码是 'admin01' 的数据
    
    @GetMapping("user")
    @PreAuthorize("ROLE_admin")
    @PostFilter("filterObject.password == 'admin01'")
    public List<User> getAllUser(){

  • 第二步 : 在 Controller 的方法中添加注解

        @GetMapping("user")
    @PreAuthorize("ROLE_admin")
    @PostFilter("filterObject.password == 'admin01'")
    public List<User> getAllUser(){

        List<User> users = new ArrayList<>();
        users.add(new User("admin01", "12345"));
        users.add(new User("admin02", "admin02"));
        return users;
    }

  • 使用 postman 测试

    http://localhost:8111/test/user

// 测试结果
[{"username":"admin02","password":"admin02"}]

@PreFilter

  • 作用

    1. 进入控制器之前对传入数据进行过滤
    
    
2. 过滤掉 username 不等于 admin01 的数据 filterObject就是 users 的 User 类
    
    
    @GetMapping("filter")
    @PreAuthorize("hasAnyAuthority('ROLE_admin')")
    @PreFilter("filterObject.username == 'admin01'")
    public List<User> getTestPreFilter(List<User> users){}
兀坐晴窗独饮茶
关注
  • 1
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 2
    评论
spring-security注解开发
10-29
对spring实战的的嘘唏，在第九章姐的嘘唏。对书中使用注解的方式开发进行了工程的创建学习。
Spring Security基本配置方法解析
08-25
Spring Security基本配置方法解析 Spring Security是一个功能强大且可高度自定义的身份验证和访问控制框架，它是保护基于Spring的应用程序的事实上的标准。Spring Security是一个专注于为Java应用程序提供身份验证...
Spring——Security安全框架之注解使用
专注写bug
02-23 5432
文章目录前言本次测试注解介绍注解使用@Secured@PreAuthorize@PostAuthorize@PostFilter@PreFilter代码下载 前言 之前security中，针对配置项进行了相关的配置和测试。 但是这些都是基于在security.config.MyConfig#configure(org.springframework.security.config.annotation.web.builders.HttpSecurity)中进行对应请求的权限限制。 如果是多个请求，各个有
springSecurity学习之springSecurity注解使用
最新发布
Lxn2zh的博客
07-22 427
在使用springboot的时候，大家更习惯于使用注解来进行配置，那么springSecurity注解怎么使用呢。方法结束后进行校验，可以正常执行，但是返回值需要进行权限校验。用户具有哪些角色可以访问，注意要有ROLE_前缀。允许方法调用，但是在进去方法前先过滤输入值。springSecurity注解使用。允许方法调用，但是会过滤方法的结果。
SpringSecurity 注解使用
weixin_47277897的博客
12-28 1281
注解使用 @Secured 判断是否具有角色，另外需要注意的是这里匹配的字符串需要添加前缀“ROLE_“。 使用注解先要开启注解功能！ @EnableGlobalMethodSecurity(securedEnabled=true) @SpringBootApplication @EnableGlobalMethodSecurity(securedEnabled=true) public class DemosecurityApplication { public s...
SpringSecurity常见注解的使用
Kk_Chosen1的博客
08-21 1613
方法级别的权限认证，只有被该注解指定的角色才能访问该方法使用该注解需要开启注解功能，在配置类或者启动类上添加在controller方法上添加@Secured注解此时如果不是这两个角色其中之一访问请求将被拒绝。
Spring Security中的注解
qq_44188658的博客
08-10 289
Spring Security中的注解： @Configuration //相当于Spring的xml配置文件，在这个类方法的返回值是java对象，这些对象存放在spring容器中 @EnableWebSecurity //表示启用SpringSecurity安全框架的功能 @EnableGlobalMethodSecurity(prePostEnabled = true) //启用方法级别的认证 @Bean //把当前类的对象放到容器中 ...
Spring Cloud Gateway 整合 Spring Security 统一登录认证鉴权
02-24
而Spring Security 则是 Java 开发中广泛使用的安全框架，用于实现认证和授权。当我们将这两者结合时，我们可以创建一个强大的统一登录认证鉴权系统。 首先，让我们深入了解Spring Cloud Gateway。这是一个基于...
Spring Security 基本使用和配置代码
10-07
本教程将深入探讨Spring Security的基本使用和配置代码，帮助你理解和实践这个框架。 首先，Spring Security的核心功能包括用户身份验证、权限控制以及安全相关的会话管理。在开始配置之前，确保你的项目已经集成了...
SpringSecurity笔记，编程不良人笔记
10-28
在本笔记中，我们将深入探讨SpringSecurity的核心概念、配置以及如何与SpringBoot结合使用。 1. **SpringSecurity核心概念** - **Filter Chain**: SpringSecurity通过一系列过滤器实现其安全功能，这些过滤器构成...
SpringSecurity.pdf
05-24
在使用Spring Security时，开发者需要熟悉它的相关Maven依赖，这些依赖是Spring Security框架与应用程序集成的基础。通过配置Maven坐标，开发者可以在项目中引入Spring Security，从而开始安全功能的配置与开发。...
s2sh+springSecurity的注解配置例子
04-06
NULL 博文链接：https://yangliuwillow.iteye.com/blog/1559242
【Spring Security注解详解】
samsung_samsung的专栏
05-06 756
Spring Security 是一个强大的、高度可定制的身份验证和访问控制框架，广泛用于Java应用程序中以确保安全。它提供了多种注解来简化安全控制的实现，特别是在方法级别的权限控制上。
SpringSecurity中注解讲解
上善若泪
09-08 780
test：是一个注册在Spring容器中的Bean，对应的类是 cn.test.PermissionService；是类中定义的方法；当Spring EL 表达式返回TRUE，则权限校验通过；
5.Spring Security安全注解
相互学习 共同进步
04-24 1261
Spring Security默认是禁用注解的，要想开启注解，需要在继承WebSecurityConfigurerAdapter的类上加@EnableGlobalMethodSecurity注解，并在该类中将AuthenticationManager定义为Bean如果要启用基于注解的方法安全性，要在配置类上使用**@EnableGlobalMethodSecurity**设置了securedEnabled = true，此时Spring将会创建一个切点，并将带有@Secured注解的方法防入切面中。
spring security 注解的使用
希望有志同道合的的朋友可以互相学习！
03-28 732
在spring security安全管理框架中，主要注解有 @EnableGlobalMethodSecurity @Secured （角色认证） @PreAuthorize（访问方法之前进行 权限或角色 认证） @PostAuthorize（访问方法之后进行 权限或角色 认证） @PreFilter @PostFilter
【SpringBoot3】Spring Security 常用注解
不积跬步无以至千里，不积小流无以成江海。一个喜欢学习分享的程序员
02-19 1666
Spring Security 6 的常用注解包括以下几种，通过这些注解可以更加方便的控制资源权限。 - `@Secured` ：方法执行前检查，直接判断有没有对应的角色 - `@PreAuthorize`：方法执行前检查，根据SpEL表达式执行结果判断是否授权 - `@PostAuthorize`：方法执行后检查，根据SpEL表达式执行结果判断是否授权
SpringSecurity注解
笑一个吧
12-09 103
Security注解
Spring Security权限注解
程序员朱永胜
03-15 2393
启用注解 @EnableGlobalMethodSecurity(prePostEnabled = true) 正常启用开启那个注解就行，下面放下我的配置 package com.fedtech.sys.provider.config.config; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.sprin
Spring Security 3.0注解授权详解与使用
"这篇文档是关于Spring Security 3.0.1的中文翻译版，主要关注的是该版本的bug修复，以及对之前版本中拼写错误的修正。文档介绍了Spring Security的基本概念、获取方式和核心模块，特别是对于Spring Security的安全...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

兀坐晴窗独饮茶

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值