Spring Security（二）

最新推荐文章于 2024-04-20 16:32:09 发布
最新推荐文章于 2024-04-20 16:32:09 发布
阅读量274 收藏 1
点赞数
分类专栏： spring security
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42981803/article/details/104410075
版权

        在 上一节 我们完成了最基本的security配置，下面我们了解下如何配置用户信息，包括内存签名服务，数据库签名服务和自定义签名服务三种。

首先，说下内存签名服务，顾名思义，就是将用户的相关信息放在内存中，一般用于项目初期的环境搭建验证。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    //用户信息加解密,单向不可逆
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    //在这里配置url访问权限
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
        httpSecurity.authorizeRequests().anyRequest().authenticated()
                .and().formLogin();
    }


    /*
    * 该方法是一个配置用户信息的方法，
    * 使用内存签名服务，数据库签名服务和自定义签名服务
    * 通过configure（HTTPSecurity httpSecurity）方法限定请求权限
    * */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //密码编码器
        PasswordEncoder passwordEncoder = passwordEncoder();
        //内存签名服务
        auth.inMemoryAuthentication()
                .passwordEncoder(passwordEncoder)
                //注册用户admin，密码为123456，赋予用户和管理员的权限
                .withUser("admin")
                .password("$2a$10$6oba6BnY4Ux/ayNTX1KcOO6ZYYb17rnMmsL.bOg2wqU5UsfbLYfBO")
                .roles("USER", "ADMIN")
                .and()
                //注册用户user,密码为123456
                .withUser("user")
                .password("$2a$10$6oba6BnY4Ux/ayNTX1KcOO6ZYYb17rnMmsL.bOg2wqU5UsfbLYfBO")
                .roles("USER");
    }
}

 在spring 5的Security中都要求使用密码编码器，否则发生异常。inMemoryAuthentication（）方法配置用户的信息，包括赋予角色。我们可以先写一个UserController页面和user页面看下效果。

UserController如下：

@Controller
public class UserController {

    @GetMapping("/user")
    public String user(){
        return "user";
    }
}

在src/resources/templates下新建一个user.heml。内存如下：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Title</title>
</head>
<body>
<h1>welcome you, my lover!</h1>
</body>
</html>

然后，我们启动下试试效果，输入http://localhost:8080/ ,输入用户名和密码

接下来，就是通过访问数据库的信息来实现登录。

数据库主要有三个表，其中t_role表是角色表，就是说明有哪些角色（管理员，用户等）；t_user表为用户表，包含用户的信息；t_user_role表为用户角色表（将角色表和用户表对应）。

SET NAMES utf8mb4;
SET FOREIGN_KEY_CHECKS = 0;

-- ----------------------------
-- Table structure for t_role
-- ----------------------------
DROP TABLE IF EXISTS `t_role`;
CREATE TABLE `t_role`  (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `role_name` varchar(60) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL,
  `note` varchar(255) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
  PRIMARY KEY (`id`) USING BTREE
) ENGINE = InnoDB CHARACTER SET = utf8 COLLATE = utf8_general_ci ROW_FORMAT = Dynamic;

-- ----------------------------
-- Records of t_role
-- ----------------------------
INSERT INTO `t_role` VALUES (1, 'ROLE_ADMIN', NULL);
INSERT INTO `t_role` VALUES (2, 'ROLE_USER', NULL);

-- ----------------------------
-- Table structure for t_user
-- ----------------------------
DROP TABLE IF EXISTS `t_user`;
CREATE TABLE `t_user`  (
  `id` int(12) NOT NULL AUTO_INCREMENT,
  `user_name` varchar(60) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL,
  `pwd` varchar(100) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL,
  `available` int(1) NULL DEFAULT 1 COMMENT '是否可用，1表示可用，0表示不可用',
  `note` varchar(255) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
  PRIMARY KEY (`id`) USING BTREE,
  UNIQUE INDEX `user_name`(`user_name`) USING BTREE
) ENGINE = InnoDB CHARACTER SET = utf8 COLLATE = utf8_general_ci ROW_FORMAT = Dynamic;

-- ----------------------------
-- Records of t_user
-- ----------------------------
INSERT INTO `t_user` VALUES (1, 'admin', '$2a$10$JqRPoogLhSHKlP5esSSJ2eMBQdyjeiOYRkl73EC2tD2Swuj1NpkCG', 1, 'ROLE_ADMIN,ROLE_USER');
INSERT INTO `t_user` VALUES (2, 'myuser', '$2a$10$JqRPoogLhSHKlP5esSSJ2eMBQdyjeiOYRkl73EC2tD2Swuj1NpkCG', 1, 'ROLE_USER');

-- ----------------------------
-- Table structure for t_user_role
-- ----------------------------
DROP TABLE IF EXISTS `t_user_role`;
CREATE TABLE `t_user_role`  (
  `id` int(12) NOT NULL AUTO_INCREMENT,
  `role_id` int(12) NOT NULL,
  `user_id` int(12) NOT NULL,
  PRIMARY KEY (`id`) USING BTREE,
  UNIQUE INDEX `role_id`(`role_id`, `user_id`) USING BTREE,
  INDEX `FK_Reference_2`(`user_id`) USING BTREE,
  CONSTRAINT `FK_Reference_1` FOREIGN KEY (`role_id`) REFERENCES `t_role` (`id`) ON DELETE RESTRICT ON UPDATE RESTRICT,
  CONSTRAINT `FK_Reference_2` FOREIGN KEY (`user_id`) REFERENCES `t_user` (`id`) ON DELETE RESTRICT ON UPDATE RESTRICT
) ENGINE = InnoDB CHARACTER SET = utf8 COLLATE = utf8_general_ci ROW_FORMAT = Dynamic;

-- ----------------------------
-- Records of t_user_role
-- ----------------------------
INSERT INTO `t_user_role` VALUES (1, 1, 1);
INSERT INTO `t_user_role` VALUES (2, 2, 1);
INSERT INTO `t_user_role` VALUES (3, 2, 2);

SET FOREIGN_KEY_CHECKS = 1;

在这里，更改下SecurityConfig类，

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    //注入数据源
    @Autowired
    private DataSource dataSource = null;
    //使用用户名查询密码
    String pwdQuery = "select user_name, pwd, available from t_user where user_name =?";
    //使用用户名查询角色信息
    String roleQuery = "select u.user_name, r.role_name from t_user u, t_user_role ur, t_role r "
            + "where u.id = ur.user_id and r.id = ur.role_id and u.user_name =?";

    //用户信息加解密,单向不可逆
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    //在这里配置url访问权限
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
        httpSecurity.authorizeRequests().anyRequest().authenticated()
                .and().formLogin();
    }


    /*
    * 该方法是一个配置用户信息的方法，
    * 使用内存签名服务，数据库签名服务和自定义签名服务
    * 通过configure（HTTPSecurity httpSecurity）方法限定请求权限
    * */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //密码编码器
        PasswordEncoder passwordEncoder = passwordEncoder();
        auth.jdbcAuthentication()
                .passwordEncoder(passwordEncoder)
                //数据源
                .dataSource(dataSource)
                //查询用户，自动判断密码是否一致
                .usersByUsernameQuery(pwdQuery)
                //赋予权限
                .authoritiesByUsernameQuery(roleQuery);
    }
}

现在就已经完成了。重新启动项目，输入http://localhost:8080/ 还是刚才的用户名和密码，效果如下：

 接下来，我们来实现spring security的自定义认证。先修改下securityCOnfig类，

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    UserDetailsServiceImpl myUserDetailsService;

    //用户信息加解密,单向不可逆
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    //在这里配置url访问权限，admin需要有admin授权，user则是有admin，user，一个角色即可访问
    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {
        httpSecurity.authorizeRequests()
                .antMatchers("/user").hasAnyRole("USER", "ADMIN")
                .antMatchers("/admin").hasAuthority("ROLE_ADMIN")
                .anyRequest().permitAll()
                .and().formLogin()
                //启动http基础验证
                .and().httpBasic();
    }

    /*
     * 该方法是一个配置用户信息的方法，
     * 使用内存签名服务，数据库签名服务和自定义签名服务
     * 通过configure（HTTPSecurity httpSecurity）方法限定请求权限
     * */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        //密码编码器
        PasswordEncoder passwordEncoder = passwordEncoder();
        auth.userDetailsService(myUserDetailsService)
                .passwordEncoder(passwordEncoder);
    }
}

 

添加UserDO，和UserRoleDO

public class UserDO {
    private Long id;

    private String userName;

    private String password;

    private Integer available;

    private String note;

    /*省去get，set访问*/
}



----------------------------------------------

public class UserRoleDO extends UserDO {
    private String roleName;

    public String getRoleName() {
        return roleName;
    }

    public void setRoleName(String roleName) {
        this.roleName = roleName;
    }
}

 

 添加UserDao（类似UserMapper），在src/main/resource/mybatis/下添加UserMapper.xml

@Mapper
public interface UserDao {
    List<UserDO> findAll();

    List<UserRoleDO> findRolesByUserName(String userName);

    UserDO getUserByName(String userName);
}


-------------------------------------------------------------

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="com.example.demo.dao.UserDao">

    <select id="findAll" resultType="com.example.demo.domain.UserDO">
        select * from t_user
    </select>

    <select id="findRolesByUserName" parameterType="String" resultType="com.example.demo.domain.UserRoleDO">
        select a.*, b.role_name from t_user a, t_role b, t_user_role c
        where a.user_name = #{userName} and a.id = c.user_id and b.id = c.role_id
    </select>

    <select id="getUserByName" resultType="com.example.demo.domain.UserDO" parameterType="String">
        select * from t_user where user_name = #{userName}
    </select>

</mapper>

然后添加UserService，UserServiceImpl

public interface UserService {
    List<UserDO> findAll();

    List<UserRoleDO> findRolesByUserName(String userName);

    UserDO getUserByName(String userName);
}



---------------------------------------------------
@Service
public class UserServiceImpl implements UserService {

    @Autowired
    private UserDao userDao;

    @Override
    public List<UserDO> findAll() {
        return userDao.findAll();
    }

    @Override
    public List<UserRoleDO> findRolesByUserName(String userName) {
        return userDao.findRolesByUserName(userName);
    }

    @Override
    public UserDO getUserByName(String userName) {
        return userDao.getUserByName(userName);
    }


}

UserController类如下：

@Controller
public class UserController {
    @Autowired
    private UserService userService;

    @GetMapping("/hello")
    public Object hello() {
        return "hello";
    }

    @GetMapping("/user")
    public String user() {
        return "user";
    }

    @GetMapping("/admin")
    public String admin() {
        return "admin";
    }
}

 

 新建user.html, admin.html, hello.html

<!DOCTYPE html>
<html lang="en" xmlns:th="http://www.w3.org/1999/xhtml">
<head>
    <meta charset="UTF-8">
    <title>hello page</title>
</head>
<body>
<h1>你好，这里是hello 页面</h1>
<a href="/user">user</a>
<a href="/admin">admin</a>
</body>
</html>


--------------------------------------------------------------

<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <meta charset="UTF-8">
    <title>admin</title>
</head>
<body>
<h1>hello，this is admin page, if you can see this page, you have admin role.</h1>
</body>
</html>


-----------------------------------------------------------------

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>user</title>
</head>
<body>
<h1>hello，this is user page, if you can see this page, you have user role.</h1>
</body>
</html>

UserDetailsServiceImpl 如下：

@Service
public class UserDetailsServiceImpl implements UserDetailsService {
    @Autowired
    private UserService userService;


    //获取用户信息，返回UserDetails接口对象，
    @Override
    public UserDetails loadUserByUsername(String userName) throws UsernameNotFoundException {
        //获取数据库用户信息
        UserDO dbUser = userService.getUserByName(userName);
        System.out.println(dbUser.toString());
        //获取数据库角色信息
        List<UserRoleDO> roleList = userService.findRolesByUserName(userName);
        return changeToUser(dbUser, roleList);
    }

    private UserDetails changeToUser(UserDO dbUser, List<UserRoleDO> roleList) {
        //权限列表
        List<GrantedAuthority> authorityList = new ArrayList<>();

        //赋予查询到的角色
        for (UserRoleDO role : roleList) {
            GrantedAuthority authority = new SimpleGrantedAuthority(role.getRoleName());
            authorityList.add(authority);
        }
        //创建UserDetails对象，设置用户名、密码和权限
        return new org.springframework.security.core.userdetails.User(dbUser.getUserName(), dbUser.getPassword(), authorityList);
    }
}

配置文件application.properties如下：

spring.datasource.url=jdbc:mysql://localhost:3306/你的数据库名?serverTimezone=GMT%2B8
spring.datasource.username=用户名
spring.datasource.password=密码
spring.datasource.driver-class-name=com.mysql.cj.jdbc.Driver

mybatis.configuration.map-underscore-to-camel-case=true
mybatis.mapper-locations=mybatis/**/*Mapper.xml
mybatis.type-aliases-package=com.example.demo.**.domain
logging.level.com.example.demo.dao=debug

spring.thymeleaf.encoding=UTF-8

 

小乔美哒哒
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
SpringSecurity详解
m0_71012114的博客
10-19 4976
本文详解介绍了security原理、多种方式配置登录、角色和权限访问控制、常用注解、用户注销。
Spring Security二
04-01
**Spring Security 源码分析** Spring Security 是一个强大的、高度可定制的访问控制和身份认证框架，广泛应用于Java EE应用程序的安全管理。它为开发者提供了丰富的功能，包括身份验证、授权、会话管理以及CSRF...
深入理解Spring Security授权机制原理
朱季谦
02-10 1364
原创/朱季谦 在Spring Security权限框架里，若要对后端http接口实现权限授权控制，有两种实现方式。 一、一种是基于注解方法级的鉴权，其中，注解方式又有@Secured和@PreAuthorize两种。 @Secured如： 1 @PostMapping("/test") 2 @Secured({WebResRole.ROLE_PEOPLE_W}) 3 public void test(){ 4 ...... 5 return null; 6 }
浅谈 SpringSecurity使用方式——WebSecurityConfigurerAdapter的三大方法（二）
小爽帅到拖网速的博客
09-10 1万+
上一章节我们简单介绍了SpringSecurity使用方式及自动配置原理，这一节我们会着重阐述SpringSecurity的配置，并且会基于配置类WebSecurityConfigurerAdapter的三个方法的使用方式及原理向大家介绍 2.4、基于配置类WebSecurityConfigurerAdapter 创建 WebSecurityConfig配置类，继承 WebSecurityConfigurerAdapter抽象类，实现 Spring Security在 Web 场景下的自定义配置。 @Con
SpringSecurity
最新发布
Java 技术专栏，从入门到精通，熟悉企业级开发
04-20 1万+
一般来说，Web 应用的安全性包括用户认证（Authentication）和用户授权 （Authorization）两个部分，这两点也是 Spring Security 重要核心功能。（1）用户认证指的是：验证某个用户是否为系统中的合法主体，也就是说用户能否访问 该系统。用户认证一般要求用户提供用户名和密码。系统通过校验用户名和密码来完成认 证过程。通俗点说就是系统认为用户是否能登录。（2）用户授权指的是验证某个用户是否有权限执行某个操作。在一个系统中，不同用户 所具有的权限是不同的。
springsecurity详解
热门推荐
baidu_37366055的博客
11-23 9万+
1.springsecurity springsecurity底层实现为一条过滤器链，就是用户请求进来，判断有没有请求的权限，抛出异常，重定向跳转。 2.登录页 springsecurity自带一个登录页。 从登陆入手，登录页替换成我们自己的，对输入的账号密码进行验证 /** * 表单登陆security * 安全 = 认证 + 授权 */ @Configuration public class SecurityConfig extends WebSecurityConfigur
spring-security
migo_的专栏
02-25 1226
Spring Security是一个框架，致力于为Java应用程序提供身份验证和授权。像所有Spring项目一样，Spring Security的真正强大之处在于它可以轻松扩展以满足定制需求的能力。Spring Security是Spring采用 `AOP`思想，基于 `servlet过滤器`实现的安全框架。它提供了完善的认证机制和方法级的授权功能。Spring Security是一个功能强大且高度可定制的身份验证和访问控制框架。它是用于保护基于Spring的应用程序的事实上的标准。
Spring Security in Action
11-22
Spring Security 实践指南 Spring Security 是一个基于 Java 的安全框架，旨在提供身份验证、授权和访问控制等功能。下面是 Spring Security 的主要知识点： 一、身份验证（Authentication） 身份验证是指对用户...
SpringSecurity.zip
06-08
​ Spring Security：spring家族一员。是一个能够为基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。它提供了一组可以在Spring应用上下文中配置的Bean，充分利用了Spring IoC，DI（控制反转...
springsecurity使用demo
03-03
SpringSecurity 是一个强大的且高度可定制的身份验证和访问控制框架，用于保护基于Java的应用程序。在本示例中，我们将探讨如何使用 SpringSecurity 构建一个基本的认证和授权流程。 首先，Spring Security 的核心...
Spring Security模块
09-03
**二、Spring Security 的工作流程** 1. **请求到达**：用户发送 HTTP 请求到服务器。 2. **过滤器链**：Spring Security 的过滤器链开始工作，首先是 `DelegatingFilterProxy`，它将请求转发给 Spring Security ...
SpringSecurity.pdf
05-24
SpringSecurity入门到进阶到高级,是我们老师给我们讲课用的,我们都照着配就没有问题,可以跑通,
Spring Security详细介绍使用
书启鸿蒙知秋枫
03-08 4481
Spring 是非常流行和成功的 Java 应用开发框架，Spring Security 正是 Spring 家族中的成员。Spring Security 基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。正如你可能知道的关于安全方面的两个核心功能是“
Mybatis、Mybatis-Plus多表联合查询，通过注解实现，自定义SQL参考实现
猪之仆的博客
05-07 972
Mybatis、Mybatis-Plus多表联合查询，通过注解实现 问题描述 以用户、角色为例，因为是多对多的关系，使用需要建立三张表，一张用户表、一张角色表、一张关联表（表明关联关系），那么通过用户id去找到这个用户有什么角色这个事情就需要三张表关联起来了，通过发送多个sql当然能解决这个问题，但是不是符合自己心意的，并且3个sql 的性能肯定不行，并且多次注入其他mapper或者service肯定耦合，反正种种原因，需要这几张表关联起来，然后当自己打算自定义SQL语句的时候，发现如果不写mapper
spring security的认证和授权流程
健康平安的活着的专栏
07-25 1万+
一.springsecurity的认证流程 1.1 常用过滤器 SpringSecurity 采用的是责任链的设计模式，它有一条很长的过滤器链。现在对这条过滤器链的 15 个过滤器进行说明： WebAsyncManagerIntegrationFilter 将 Security 上下文与 Spring Web 中用于 处理异步请求映射的 WebAsyncManager 进行集成。 SecurityContextPersistenceFilte
Springboot学习笔记（十）——Spring Security
qq_37054816的博客
10-20 758
概述和简单安全认证 在Java Web工程中，一般使用Servlet过滤器（Filter）对请求的进行拦截，然后在Filter中通过自己的验证逻辑来决定是否放行请求。同样的，Spring Security也是基于这个原理，在进入到DispatcherServlet前就可以对SpringMVC的请求进行拦截，然后通过一定的验证，从而决定是否放行请求访问系统。 为了使用Spring Securit...
SpringBoot - HttpSecurity是什么？
记录并分享
08-11 1081
HttpSecurity用于在实际的业务场景中针对不同的URL采用不同的权限处理策略。一般会在重载WebSecurityConfigurerAdapter基类的configure(HttpSecurity httpSecurity)方法中完成权限策略的处理。HttpSecurity是SecurityBuilder接口的一个实现类，这是一个HTTP安全相关的构建器。当然我们在构建时可能需要一些配置，当我们调用HttpSecurity对象的方法时，实际上就是在进行配置。...
Spring Security之WebSecurityConfigurerAdapter示例
Purpletaro的专栏
10-28 473
直接上代码 package com.example.springsecurity.config; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Configuration; import org.springframework.http.HttpMethod; import org.springframework.security.
WebSecurityConfigurerAdapter过期处理
xiaofan空欢喜的博客
08-10 4982
1.从原方案继承WebSecurityConfigurerAdapter改为使用注解@EnableWebSecurity。2.过期以后原有的configure方法和AuthenticationManager也可能会出问题，建议使用新方案。
springsecurity 二次认证
08-24
Spring Security提供了强大的身份认证和授权功能，但默认情况下只提供了一种单一的认证方式。如果你需要进行二次认证，你可以按照以下步骤进行配置： 1. 创建一个自定义的AuthenticationProvider：你可以实现`...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值